Next.js のミドルウェアをすり抜け（CVE-2025-29927）— ヘッダー1つでログイン確認を飛ばせる

何が起きたか

2025年3月21日、Web アプリを作る部品 Next.js の欠陥（CVE-2025-29927、CVSS 9.1）が公表されました。Next.js の「ミドルウェア」でログインや権限の確認をしている場合、リクエストに x-middleware-subrequest という見出し（ヘッダー）を付けるだけで、その確認を飛ばせてしまいます。

影響を受けたのは

• 修正版（15.2.3、14.2.25、13.5.9、12.3.5）より前の Next.js
• 主に自社サーバーなどで動かしている（セルフホスト）サイト。Vercel・Netlify 上のものや静的に書き出したサイトは影響を受けないとされました
• 確認をミドルウェアだけに頼っているサイトほど被害が大きくなります

自社で確認したいこと

• 修正版へ更新する
• すぐ更新できないなら、外からの x-middleware-subrequest ヘッダーを手前で捨てる
• 外注した Web サイトに Next.js が使われているか、制作会社に確認する