ช่องโหว่ CVE-2025-29927 ใน Next.js ส่งผลให้ผู้ดูแลระบบต้องรีบอัปเดตแพลตฟอร์มเพื่อป้องกันการข้ามขั้นตอนตรวจสอบสิทธิ์ที่อาจเกิดขึ้น หากคุณใช้งานเวอร์ชัน 11.1.4 ขึ้นไป ควรรีบติดตั้งเวอร์ชัน 15.2.3 หรือ 14.2.25 เพื่อความปลอดภัย และหากยังอัปเดตไม่ได้ ให้ปิดกั้นคำขอที่มี x-middleware-subrequest header เพื่อป้องกันการโจมตีในระหว่างนี้ ผลกระทบที่รุนแรง: - ช่องโหว่นี้ส่งผลกระทบต่อ Next.js ทุกเวอร์ชันตั้งแต่ 11.1.4 เป็นต้นมา ทำให้ผู้ใช้ที่ไม่ได้อัปเดตมีความเสี่ยงสูง โดยเฉพาะเว็บไซต์ที่ใช้ฟังก์ชัน middleware ในการควบคุมสิทธิ์. การแก้ไข: - ผู้พัฒนาและผู้ดูแลระบบที่ใช้ Next.js ควรอัปเดตเป็นเวอร์ชัน 15.2.3 สำหรับผู้ที่อยู่บนสาย 15.x หรือเวอร์ชัน 14.2.25 สำหรับสาย 14.x เพื่อปิดช่องโหว่นี้. คำแนะนำจาก Vercel: - หากไม่สามารถติดตั้งการอัปเดตได้ในทันที ผู้ใช้งานควรกำหนดให้เซิร์ฟเวอร์ปิดกั้นคำขอที่มี x-middleware-subrequest header เพื่อลดความเสี่ยงที่ผู้โจมตีอาจใช้ช่องโหว่นี้. ความกังวลในวงกว้าง: - ผู้เชี่ยวชาญชี้ว่า ช่องโหว่ลักษณะนี้อาจเกิดขึ้นในเฟรมเวิร์คอื่น ๆ ซึ่งเน้นการเชื่อมต่อระหว่างองค์ประกอบต่าง ๆ ในระบบเพื่อให้บริการได้รวดเร็ว แต่หากจัดการไม่ดี อาจสร้างช่องโหว่เช่นเดียวกัน. https://www.infoworld.com/article/3853904/warning-for-developers-web-admins-update-next-js-to-prevent-exploit.html