Il y a eu dernièrement, une faille de sécurité dans Next.js pour ceux qui utilisent middleware pour mettre en place la sécurité sur leur projet Next.js, je vous conseille de rapidement mettre à niveau vos solutions.
Le problème serait dû à une évolution de la codebase qui n'a pas réimplémenté certaines choses et laissé des failles ouvertes. 🤦♂️
Pour ceux que ça intéresse, je vous mets un lien vers une brève vidéo qui en parlera avec les détails:
Empressez vous de fixer ça si vous l'avez!
FAQ
Quels projets Next.js sont concernés par cette faille ?
Seuls les projets qui utilisent le middleware Next.js pour gérer la sécurité sont directement exposés. Si tu n'utilises pas de middleware à des fins de contrôle d'accès ou d'authentification, le risque est moindre, mais la mise à jour reste recommandée.
Quelle est l'origine du problème ?
La vulnérabilité vient d'une évolution interne de la codebase de Next.js qui n'a pas correctement réimplémenté certaines vérifications de sécurité, laissant des points d'entrée non protégés.
Que faire concrètement pour se protéger ?
La priorité est de mettre à jour Next.js vers la dernière version corrigée dès que possible. Vérifie les notes de version officielles du projet pour identifier le numéro de version qui inclut le correctif.
Est-ce que contourner le middleware peut être une solution temporaire ?
Déplacer la logique de sécurité côté serveur, dans les routes API ou les server components, peut réduire l'exposition en attendant la mise à jour, mais cela demande des ajustements de code et ne remplace pas le correctif officiel.
