CVE-2024-51479 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Next.js 中间件授权逻辑缺陷。 💥 **后果**：攻击者可绕过根目录下的页面访问控制，导致**未授权访问**敏感资源。

🔍 **CWE**：CWE-285 (不当授权)。 📍 **缺陷点**：中间件仅基于**路径名**判断权限，未校验实际资源归属，导致根目录页面被绕过。

📦 **厂商**：Vercel。 📉 **产品**：Next.js。 ⚠️ **版本**：**14.2.15 之前**的所有版本均受影响。

🕵️ **黑客能力**： 1. **读取数据**：访问本应受保护的根目录页面。 2. **权限提升**：绕过中间件鉴权，获取**高敏感信息**（CVSS C:H）。

🚪 **门槛**：**极低**。 🔑 **认证**：无需认证 (PR:N)。 🌐 **网络**：远程利用 (AV:N)。 ⚡ **复杂度**：低 (AC:L)。

📜 **PoC**：GitHub 上已有相关利用代码（如 doc0null 提供的示例）。 🔥 **在野**：暂无明确大规模在野利用报告，但漏洞原理清晰，利用风险高。

🔎 **自查方法**： 1. 检查 `middleware.ts/js` 中的鉴权逻辑。 2. 确认是否仅依赖 `req.nextUrl.pathname` 做判断。 3. 扫描 Next.js 版本是否 < 14.2.15。

🛡️ **补丁**：**已修复**。 📌 **版本**：官方已发布 **v14.2.15** 修复版本。 🔗 **参考**：GitHub Security Advisory GHSA-7gfc-8cq8-jh5f。

🚧 **临时规避**： 1. **升级**至 v14.2.15 或更高版本。 2. 若无法升级，需重构中间件逻辑，增加对**实际资源路径**的深度校验，而非仅看 URL 路径。

🔥 **优先级**：**高**。 💡 **建议**：CVSS 评分高（C:H），且涉及核心鉴权逻辑。建议**立即升级**框架版本，消除未授权访问风险。