CVE-2026-32541 : contournement du middleware Next.js — analyse et correction

La faille

La CVE-2026-32541, publiée fin mai 2026, affecte les applications Next.js qui utilisent le middleware pour gérer l'authentification et l'autorisation. Un attaquant pouvait contourner le middleware en manipulant les en-têtes de requête, accédant ainsi à des pages protégées sans authentification.

Versions affectées : Next.js 14.0 à 15.2.3

Sévérité : Critique (CVSS 9.1)

Correction : Next.js 15.2.4+

Comment ça fonctionne

Le middleware Next.js s'exécute à l'edge, avant le rendu de la page. Beaucoup d'éditeurs SaaS l'utilisent pour vérifier l'authentification :

```typescript

// middleware.ts

export function middleware(request: NextRequest) {

const token = request.cookies.get('session')

if (!token) {

return NextResponse.redirect(new URL('/login', request.url))

}

}

`

La vulnérabilité exploitait un comportement non documenté : en envoyant un en-tête x-middleware-prefetch avec une valeur spécifique, le middleware était complètement ignoré. La requête atteignait directement la page protégée.

Impact pour les SaaS RH

Si votre application Next.js utilise le middleware comme seule couche d'authentification (ce qui est courant), un attaquant pouvait :

Plusieurs de nos clients étaient concernés. On les a alertés dans les 24h suivant la publication de la CVE.

Comment vérifier si vous êtes affecté

Correction

Court terme

Mettez à jour Next.js immédiatement :

```bash

npm install next@latest

`

Long terme

Ne comptez jamais sur une seule couche de sécurité. Le middleware est pratique pour les redirections, mais l'autorisation doit aussi être vérifiée :

La défense en profondeur, c'est exactement ça : même si une couche est compromise, les autres tiennent.

Le rôle de l'audit

Cette CVE illustre pourquoi un audit régulier est nécessaire. Lors de nos audits Next.js, on vérifie systématiquement que l'authentification n'est pas portée uniquement par le middleware. On teste les contournements connus et on vérifie que la défense en profondeur est en place.

Si vous utilisez Next.js pour votre SaaS RH, un Premier diagnostic permet de vérifier rapidement si votre middleware est votre seule ligne de défense.