CVE-2026-114139: bypass crítico de middleware en Sentry para Next.js

CVE-2026-114139: bypass crítico de middleware en Sentry para Next.js

En corto

Se ha hecho pública una vulnerabilidad crítica, identificada como CVE-2026-114139, con una puntuación CVSS de 9.1 sobre 10 [1], publicada el 21 de octubre de 2026 [1]. Afecta a Sentry-Javascript, el conjunto de SDKs oficiales de Sentry, concretamente a la integración de @sentry/nextjs cuando una aplicación Next.js usa la función "tunnel" para reportar errores y se construye con webpack [1]. En ese escenario, una petición sin autenticar puede llegar a saltarse el middleware de la aplicación y acceder a rutas que debería proteger [1]. Si tu empresa tiene aplicaciones Next.js con Sentry configurado, lo prioritario hoy es comprobar la versión instalada de @sentry/nextjs y actualizar a una versión corregida cuanto antes.

Qué es y por qué importa

Muchas aplicaciones Next.js integran Sentry para monitorizar errores en producción. Para evitar que bloqueadores de anuncios o extensiones del navegador corten ese tráfico, Sentry ofrece una función llamada "tunnel", que redirige los informes de error a través del propio dominio de la aplicación mediante una ruta configurable (tunnelRoute) [1].

El problema está en cómo la integración webpack de @sentry/nextjs implementa ese mecanismo en las versiones afectadas: el reescritor del tunnel solo debería servir la ruta exacta del tunnel cuando llegan los parámetros válidos "o" y "p", pero el middleware de la aplicación se omite para cualquier ruta situada bajo la tunnelRoute configurada [1]. Si una ruta propia de la aplicación coincide con esa ruta de tunnel, o si un segmento dinámico en la raíz del sitio resuelve por debajo de ella, una petición sin autenticar puede alcanzar esa ruta sin pasar por la comprobación de autorización del middleware [1]. La explotación requiere, por tanto, tener tunnelRoute configurado, un build con webpack, una ruta que colisione con el tunnel y que el middleware sea el único control de autorización de esa ruta [1].

El radar de inteligencia de OCIRIA resume el riesgo de forma directa: esta vulnerabilidad "permite eludir el middleware de seguridad en @sentry/nextjs cuando se utiliza la ruta Tunnel" y, por ello, "afecta a aplicaciones Next.js que usan Sentry para monitoreo, permitiendo omitir controles de seguridad críticos" [2]. OCIRIA la clasifica dentro de la categoría de escalada de privilegios [2], en línea con la severidad crítica también asignada por NVD [1].

A quién afecta

Afecta a aplicaciones Next.js que usan el paquete @sentry/nextjs en las versiones comprendidas entre 9.36.0 y, respectivamente, 9.47.2, 10.75.2 y 11.0.0-rc.1 (versiones anteriores a las correcciones) [1]. No toda instalación de Sentry en Next.js está expuesta: según la descripción oficial, es necesario tener configurada la opción tunnelRoute, compilar con webpack (no con otros bundlers) y que exista una ruta de la aplicación que colisione con esa ruta de tunnel, dependiendo únicamente del middleware para su protección [1]. Equipos de producto, desarrollo y seguridad de empresas que usan Next.js con Sentry para observabilidad deberían revisar su configuración, independientemente del tamaño de la organización.

Cómo saber si eres vulnerable

1. Revisa el package.json o el lockfile del proyecto y confirma la versión instalada de @sentry/nextjs; compárala con los rangos afectados indicados arriba [1].

2. Comprueba si en la configuración de Sentry tienes definida una tunnelRoute y si el proyecto se construye con webpack.

3. Identifica si alguna ruta de tu aplicación (incluidos segmentos dinámicos en la raíz) podría coincidir con la ruta configurada como tunnel.

4. Verifica si la autorización de esas rutas depende exclusivamente del middleware de Next.js, sin una comprobación adicional en el propio handler o en el servidor.

5. Además de esta revisión interna, conviene comprobar qué superficie de tu aplicación es visible desde fuera, para detectar rutas o endpoints expuestos que no esperabas.

Cómo protegerte

• Actualiza @sentry/nextjs a una de las versiones corregidas: 9.47.2, 10.75.2 o 11.0.0-rc.1, según la rama que uses [1]. El propio radar de OCIRIA recomienda "actualizar @sentry/nextjs a la versión parcheada inmediatamente" [2].
• No dejes la autorización de rutas sensibles solo en manos del middleware: añade también comprobaciones de acceso dentro del propio handler o componente de servidor, como defensa en profundidad.
• Revisa si realmente necesitas la función tunnel activa en producción; si no la usas, desactivarla reduce la superficie de este problema.
• Audita los logs de acceso buscando peticiones inusuales hacia rutas que coincidan con tu tunnelRoute configurada.
• Incluye esta comprobación en el ciclo habitual de actualización de dependencias, no solo como una tarea puntual.

Preguntas frecuentes

¿Qué es exactamente "tunnelRoute"? Es una opción de configuración de Sentry para Next.js que redirige los informes de error a través de una ruta propia de tu dominio, en lugar de enviarlos directamente a los servidores de Sentry [1].

¿Me afecta si uso Sentry en Next.js pero no he configurado tunnelRoute? Según la descripción oficial, la explotación requiere tener tunnelRoute configurado y compilar con webpack, además de una ruta que colisione con ella [1]. Si no cumples esas condiciones, el escenario descrito no aplica directamente, aunque sigue siendo recomendable actualizar.

¿Es urgente actualizar? El fallo tiene una puntuación CVSS de 9.1, clasificada como crítica por NVD [1], y permite a un atacante sin autenticar acceder a rutas protegidas. Dada esa combinación, conviene tratarlo como prioritario.

¿Qué aporta el radar de OCIRIA sobre este caso? Nuestro radar sitúa esta vulnerabilidad en la categoría de escalada de privilegios y coincide en que el riesgo principal es la omisión de controles de seguridad críticos en aplicaciones Next.js que usan Sentry para monitoreo [2].

Fuentes

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-114139
• [2] https://github.com/advisories/GHSA-mchm-gjx6-7h55