Mobile-Menu

Anwendungen mit Middleware betroffen Kritische Sicherheitslücke in Next.js

Von Melanie Staudacher 1 min Lesedauer

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH
Fsas Technologies GmbH
SEPPmail - Deutschland GmbH

Eine Sicherheitslücke in der Middleware-Funktion von Next.js, die eigentlich die Performance des Webframeworks verbessern soll, könnte zum Einfallstor für Cyberangreifer werden.

Eine Schwachstelle im Open-Source-Framework Next.js sorgt dafür, dass Cyberangreifer die Authentifizierung umgehen können.(Bild: / CC0)
Eine Schwachstelle im Open-Source-Framework Next.js sorgt dafür, dass Cyberangreifer die Authentifizierung umgehen können.
(Bild: / CC0)

Vercel schloss jüngst eine Sicherheitslücke in seinem Open-Source-Webframework Next.js. Die Schwachstelle CVE-2025-29927 ist mit einem CVSS von 9.1 kritisch und betrifft selbstgehostete Next.js-Anwendungen mit aktivierter Middleware.

Schwachstelle in Middleware

Next.js ist ein beliebtes Framework im JavaScript-Ökosystem, das verwendet wird, um moderne Webanwendungen zu erstellen. Für mehr Flexibilität und eine höhere Leistung können Anwender die Middleware aktivieren. Dies ist Code, der ausgeführt wird, bevor eine Anfrage eine bestimmte API oder einen bestimmten Pfad erreicht. Um Endlosschleifen zu vermeiden, in denen die Middleware immer und immer wieder aufgerufen wird, unendlich viele Anfragen zu verarbeiten hat und sich letztendlich aufhängt, nutzt Next.js den Header „x-middleware-subrequest“. Dieser sorgt dafür, dass Anfragen nur dann bearbeitet werden, wenn es wirklich nötig ist. Doch mit CVE-2025-29927 können Cyberkriminelle genau diesen Mechanismus beeinflussen.

Ist die Middleware in selbstgehostete Next.js-Anwendungen für Authentifizierungsprüfungen aktiviert, können Angreifer diese durch Ausnutzung der Sicherheitslücke umgehen. So können sie Zugriff auf geschützte Bereich erlangen und sensible Daten manipulieren und stehlen.

Um die Sicherheitslücke zu schließen, sollten Anwender schnellstmöglich eine der gepatchten Versionen installieren:

  • Next.js Version 15.2.3​
  • Next.js Version 14.2.25​
  • Next.js Version 13.5.9​
  • Next.js Version 12.3.5

Sollte das Update auf eine dieser Versionen nicht möglich sein, empfiehlt der Hersteller Vercel, externe Benutzeranfragen mit dem Header „x-middleware-subrequest“ zu blockieren, um potenzielle Angriffe zu verhindern. Anwendungen, die auf den Plattformen Vercel oder Netlify laufen seien nicht von der Schwachstelle betroffen

(ID:50365436)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte