CVE-2026-114139: Kritischer Middleware-Bypass in Sentry für Next.js

CVE-2026-114139: Kritischer Middleware-Bypass in Sentry für Next.js

Kurz gesagt

Eine kritische Schwachstelle mit der Kennung CVE-2026-114139 und einem CVSS-Wert von 9.1 von 10 [1] wurde am 21. Oktober 2026 veröffentlicht [1]. Betroffen ist Sentry-Javascript, die offizielle SDK-Sammlung von Sentry, konkret die Integration von @sentry/nextjs, wenn eine Next.js-Anwendung die „Tunnel"-Funktion zum Melden von Fehlern nutzt und mit webpack gebaut wird [1]. In diesem Szenario kann eine nicht authentifizierte Anfrage die Middleware der Anwendung umgehen und auf Routen zugreifen, die sie eigentlich schützen sollte [1]. Wenn dein Unternehmen Next.js-Anwendungen mit konfiguriertem Sentry betreibt, hat heute Priorität, die installierte Version von @sentry/nextjs zu prüfen und so schnell wie möglich auf eine korrigierte Version zu aktualisieren.

Was es ist und warum es wichtig ist

Viele Next.js-Anwendungen integrieren Sentry, um Fehler in der Produktion zu überwachen. Um zu verhindern, dass Werbeblocker oder Browser-Erweiterungen diesen Traffic unterbinden, bietet Sentry eine Funktion namens „Tunnel" an, die Fehlerberichte über die eigene Domain der Anwendung mittels einer konfigurierbaren Route (tunnelRoute) umleitet [1].

Das Problem liegt darin, wie die webpack-Integration von @sentry/nextjs diesen Mechanismus in den betroffenen Versionen implementiert: Der Tunnel-Rewriter sollte die exakte Tunnel-Route nur dann bedienen, wenn die gültigen Parameter „o" und „p" eingehen, doch die Middleware der Anwendung wird für jede Route unterhalb der konfigurierten tunnelRoute übersprungen [1]. Wenn eine eigene Route der Anwendung mit dieser Tunnel-Route übereinstimmt, oder wenn ein dynamisches Segment im Root der Seite unterhalb davon aufgelöst wird, kann eine nicht authentifizierte Anfrage diese Route erreichen, ohne die Autorisierungsprüfung der Middleware zu durchlaufen [1]. Die Ausnutzung erfordert somit, dass tunnelRoute konfiguriert ist, ein Build mit webpack vorliegt, eine Route mit dem Tunnel kollidiert und die Middleware die einzige Autorisierungskontrolle für diese Route darstellt [1].

Das Intelligence-Radar von OCIRIA fasst das Risiko unmissverständlich zusammen: Diese Schwachstelle „ermöglicht es, die Sicherheits-Middleware in @sentry/nextjs zu umgehen, wenn die Tunnel-Route verwendet wird", und betrifft deshalb „Next.js-Anwendungen, die Sentry zur Überwachung nutzen, wodurch kritische Sicherheitskontrollen übersprungen werden können" [2]. OCIRIA ordnet sie der Kategorie Privilegieneskalation zu [2], im Einklang mit der von NVD ebenfalls vergebenen kritischen Schweregrad-Einstufung [1].

Wen betrifft es

Betroffen sind Next.js-Anwendungen, die das Paket @sentry/nextjs in den Versionen zwischen 9.36.0 und, je nach Zweig, 9.47.2, 10.75.2 bzw. 11.0.0-rc.1 verwenden (Versionen vor den Korrekturen) [1]. Nicht jede Sentry-Installation in Next.js ist exponiert: Laut offizieller Beschreibung müssen die Option tunnelRoute konfiguriert sein, mit webpack (nicht mit anderen Bundlern) gebaut werden und eine Route der Anwendung existieren, die mit dieser Tunnel-Route kollidiert und für ihren Schutz ausschließlich von der Middleware abhängt [1]. Produkt-, Entwicklungs- und Sicherheitsteams von Unternehmen, die Next.js mit Sentry zur Observability nutzen, sollten ihre Konfiguration überprüfen, unabhängig von der Größe der Organisation.

Wie man feststellt, ob man verwundbar ist

1. Überprüfe die package.json oder die Lockfile des Projekts und bestätige die installierte Version von @sentry/nextjs; vergleiche sie mit den oben genannten betroffenen Versionsbereichen [1].

2. Prüfe, ob in der Sentry-Konfiguration eine tunnelRoute definiert ist und ob das Projekt mit webpack gebaut wird.

3. Identifiziere, ob irgendeine Route deiner Anwendung (einschließlich dynamischer Segmente im Root) mit der als Tunnel konfigurierten Route übereinstimmen könnte.

4. Überprüfe, ob die Autorisierung dieser Routen ausschließlich von der Next.js-Middleware abhängt, ohne eine zusätzliche Prüfung im Handler selbst oder auf dem Server.

5. Zusätzlich zu dieser internen Überprüfung lohnt es sich zu prüfen, welche Oberfläche deiner Anwendung von außen sichtbar ist, um Routen oder Endpunkte zu entdecken, die exponiert sind, ohne dass du es erwartet hättest.

Wie man sich schützt

• Aktualisiere @sentry/nextjs auf eine der korrigierten Versionen: 9.47.2, 10.75.2 oder 11.0.0-rc.1, je nach verwendetem Zweig [1]. Das Radar von OCIRIA selbst empfiehlt, „@sentry/nextjs umgehend auf die gepatchte Version zu aktualisieren" [2].
• Verlasse dich bei der Autorisierung sensibler Routen nicht ausschließlich auf die Middleware: Füge als Defense-in-Depth zusätzlich Zugriffsprüfungen innerhalb des Handlers oder der Server-Komponente selbst hinzu.
• Prüfe, ob du die Tunnel-Funktion in der Produktion tatsächlich aktiv benötigst; wenn du sie nicht nutzt, verringert ihre Deaktivierung die Angriffsfläche dieses Problems.
• Durchsuche die Zugriffsprotokolle nach ungewöhnlichen Anfragen an Routen, die mit deiner konfigurierten tunnelRoute übereinstimmen.
• Nimm diese Prüfung in den üblichen Zyklus der Abhängigkeitsaktualisierung auf, nicht nur als einmalige Aufgabe.

Häufig gestellte Fragen

Was genau ist „tunnelRoute"? Es handelt sich um eine Konfigurationsoption von Sentry für Next.js, die Fehlerberichte über eine eigene Route deiner Domain umleitet, anstatt sie direkt an die Server von Sentry zu senden [1].

Bin ich betroffen, wenn ich Sentry in Next.js nutze, aber tunnelRoute nicht konfiguriert habe? Laut offizieller Beschreibung erfordert die Ausnutzung, dass tunnelRoute konfiguriert ist und mit webpack gebaut wird, zusätzlich zu einer Route, die damit kollidiert [1]. Wenn diese Bedingungen nicht erfüllt sind, trifft das beschriebene Szenario nicht direkt zu, trotzdem bleibt eine Aktualisierung empfehlenswert.

Ist eine Aktualisierung dringend? Die Schwachstelle hat einen CVSS-Wert von 9.1, von NVD als kritisch eingestuft [1], und ermöglicht einem nicht authentifizierten Angreifer den Zugriff auf geschützte Routen. Angesichts dieser Kombination sollte sie als Priorität behandelt werden.

Was trägt das OCIRIA-Radar zu diesem Fall bei? Unser Radar ordnet diese Schwachstelle der Kategorie Privilegieneskalation zu und stimmt darin überein, dass das Hauptrisiko im Umgehen kritischer Sicherheitskontrollen in Next.js-Anwendungen liegt, die Sentry zur Überwachung nutzen [2].

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-114139
• [2] https://github.com/advisories/GHSA-mchm-gjx6-7h55