Une faille de s\u00e9curit\u00e9 critique a \u00e9t\u00e9 divulgu\u00e9e dans le cadre de r\u00e9action suivante.<\/p>\n
La vuln\u00e9rabilit\u00e9, suivie comme CVE-2025-29927<\/a><\/strong>comporte un score CVSS de 9,1 sur 10,0.<\/p>\n “Next.js utilise un en-t\u00eate interne en en-t\u00eate X-Middleware-Suquest pour emp\u00eacher les demandes r\u00e9cursives de d\u00e9clencher des boucles infinies” dit<\/a> dans un avis. <\/p>\n “Il a \u00e9t\u00e9 possible de sauter la course middleware<\/a>ce qui pourrait permettre aux demandes de sauter des v\u00e9rifications critiques, comme la validation des cookies d’autorisation – avant d’atteindre les itin\u00e9raires. “<\/p>\n Il convient de noter que le CVE-2025-29927 n’a aucun impact sur les versions auto-h\u00e9berg\u00e9es qui utilisent “Suivant Start” avec “Output: Standalone”. Les applications suivantes h\u00e9berg\u00e9es sur Vercel et Netlify, ou d\u00e9ploy\u00e9es comme des exportations statiques, ne sont pas affect\u00e9es.<\/p>\n La lacune a \u00e9t\u00e9 abord\u00e9e dans les versions 12.3.5, 13.5.9, 14.2.25 et 15.2.3. Si le correctif n’est pas une option, il est recommand\u00e9 que les utilisateurs emp\u00eachent les demandes d’utilisateurs externes qui contiennent l’en-t\u00eate X-Middleware-Suquest d’atteindre l’application suivante.<\/p>\n Le chercheur en s\u00e9curit\u00e9 Rachid Allam (alias Zhero et Cold-Try), qui est reconnu pour d\u00e9couvrir et signaler la faille, a depuis publi\u00e9 D\u00e9tails techniques suppl\u00e9mentaires de la faille<\/a>ce qui rend imp\u00e9ratif que les utilisateurs se d\u00e9placent rapidement pour appliquer les correctifs. <\/p>\n “La vuln\u00e9rabilit\u00e9 permet aux attaquants de contourner facilement les v\u00e9rifications d’autorisation effectu\u00e9es dans le middleware suivant. dit<\/a>.<\/p>\n La soci\u00e9t\u00e9 a \u00e9galement d\u00e9clar\u00e9 que tout site Web d’h\u00f4te qui utilise le middleware pour autoriser les utilisateurs sans aucune v\u00e9rification d’autorisation suppl\u00e9mentaire est vuln\u00e9rable au CVE-2025-29927, permettant potentiellement aux attaquants d’acc\u00e9der \u00e0 des ressources non autoris\u00e9es autrement (par exemple, les pages d’administration).<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/La-vulnerabilite-Critical-Nextjs-permet-aux-attaquants-de-contourner-les.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n