CVE-2025-29927 Umgehung der Authorisierung in Next.js möglich

Am 21. März 2025 wurde eine kritische Sicherheitslücke (CVE-2025-29927, CVSS 9.1) in Next.js bekannt, die es Angreifern erlaubt, Autorisierungsprüfungen zu umgehen, sofern diese innerhalb von Middleware implementiert sind. Die Schwachstelle betrifft eine Vielzahl von Versionen: konkret alle Releases von Next.js größer als 11.1.4 bis einschließlich 13.5.6, sowie die Versionen >14.0 bis <14.2.25 und >15.0 bis <15.2.3.

Für Next.js 14.x und 15.x stehen bereits Sicherheitsupdates zur Verfügung: Version 14.2.25 und 15.2.3 beheben das Problem vollständig. Ältere Versionen bis einschließlich 13.5.6 enthalten zwar keinen offiziellen Patch, allerdings wird für diese Fälle ein Workaround empfohlen. Entwickler sollten dafür sorgen, dass externe Anfragen mit dem Header x-middleware-subrequest nicht an ihre Next.js-Anwendungen weitergeleitet werden.

Tags :

Related Posts

Node.js xml-crypto: XML-Signatur-Verification Bypass via Multiple SignedInfo References

Die kritische Sicherheitslücke CVE-2025-29774 wurde in der npm-Bibliothek xml-crypto entdeckt, die Versionen <= 6.0.0 betrifft. Durch das Einfügen mehrerer SignedInfo-Knoten in einem XML-Signaturblock kann ein Angreifer eine gültig signierte XML-Nachricht so manipulieren, dass sie dennoch die Signaturprüfung besteht. Dies ermöglicht das Umgehen von Authentifizierungs- und Autorisierungsmechanismen, was unter Umständen zu Privilegieneskalationen oder Identitätsübernahmen führen kann.

Read More

LibreOffice CVE-2025-1080 – Macro URL Arbitrary Script Execution

Am 4. März 2025 wurde die kritische Sicherheitslücke CVE-2025-1080 in LibreOffice bekannt, die es ermöglicht, interne Makros mit beliebigen Argumenten auszuführen. Die Schwachstelle betrifft die Unterstützung von Office URI-Schemata, die zur Integration mit Microsoft SharePoint dienen. Durch das neu eingeführte Schema „vnd.libreoffice.command“ konnten Angreifer speziell präparierte Browser-Links erstellen, die beim Öffnen in LibreOffice die Ausführung von Makros auslösen.

Read More

Kritische Schwachstelle in ArcGIS Enterprise ermöglicht Passwort-Zurücksetzung des Admin-Kontos

Eine kritische Sicherheitslücke (CVE-2025-2538) betrifft bestimmte ArcGIS Enterprise-Deployments. Die Schwachstelle erlaubt es Angreifern, ohne Authentifizierung und ohne Benutzerinteraktion, das Passwort des integrierten Administrator-Kontos in Portal for ArcGIS zurückzusetzen.

Read More