CVE-2026-114139 : contournement critique du middleware dans Sentry pour Next.js

CVE-2026-114139 : contournement critique du middleware dans Sentry pour Next.js

En bref

Une vulnérabilité critique, identifiée comme CVE-2026-114139, avec un score CVSS de 9.1 sur 10 [1], a été rendue publique le 21 octobre 2026 [1]. Elle affecte Sentry-Javascript, l'ensemble des SDK officiels de Sentry, et plus précisément l'intégration @sentry/nextjs lorsqu'une application Next.js utilise la fonctionnalité « tunnel » pour signaler les erreurs et est construite avec webpack [1]. Dans ce scénario, une requête non authentifiée peut parvenir à contourner le middleware de l'application et accéder à des routes qu'il est censé protéger [1]. Si votre entreprise dispose d'applications Next.js avec Sentry configuré, la priorité du jour est de vérifier la version installée de @sentry/nextjs et de mettre à jour vers une version corrigée dès que possible.

De quoi s'agit-il et pourquoi c'est important

De nombreuses applications Next.js intègrent Sentry pour surveiller les erreurs en production. Pour éviter que les bloqueurs de publicités ou les extensions de navigateur ne coupent ce trafic, Sentry propose une fonctionnalité appelée « tunnel », qui redirige les rapports d'erreur via le domaine même de l'application grâce à une route configurable (tunnelRoute) [1].

Le problème réside dans la façon dont l'intégration webpack de @sentry/nextjs met en œuvre ce mécanisme dans les versions affectées : le réécriveur du tunnel ne devrait servir la route exacte du tunnel que lorsque les paramètres valides « o » et « p » sont fournis, mais le middleware de l'application est contourné pour toute route située sous la tunnelRoute configurée [1]. Si une route propre à l'application coïncide avec cette route de tunnel, ou si un segment dynamique à la racine du site se résout en dessous de celle-ci, une requête non authentifiée peut atteindre cette route sans passer par le contrôle d'autorisation du middleware [1]. L'exploitation requiert donc d'avoir tunnelRoute configurée, une build avec webpack, une route qui entre en collision avec le tunnel et que le middleware soit le seul contrôle d'autorisation de cette route [1].

Le radar de renseignement d'OCIRIA résume le risque de façon directe : cette vulnérabilité « permet de contourner le middleware de sécurité dans @sentry/nextjs lorsque la route Tunnel est utilisée » et, de ce fait, « affecte les applications Next.js qui utilisent Sentry pour la surveillance, permettant de contourner des contrôles de sécurité critiques » [2]. OCIRIA la classe dans la catégorie d'escalade de privilèges [2], en cohérence avec la sévérité critique également attribuée par NVD [1].

Qui est concerné

Cela concerne les applications Next.js qui utilisent le paquet @sentry/nextjs dans les versions comprises entre 9.36.0 et, respectivement, 9.47.2, 10.75.2 et 11.0.0-rc.1 (versions antérieures aux correctifs) [1]. Toute installation de Sentry sur Next.js n'est pas exposée : selon la description officielle, il est nécessaire d'avoir configuré l'option tunnelRoute, de compiler avec webpack (et non avec d'autres bundlers) et qu'il existe une route de l'application entrant en collision avec cette route de tunnel, en dépendant uniquement du middleware pour sa protection [1]. Les équipes produit, développement et sécurité des entreprises utilisant Next.js avec Sentry pour l'observabilité devraient revoir leur configuration, quelle que soit la taille de l'organisation.

Comment savoir si vous êtes vulnérable

1. Vérifiez le package.json ou le lockfile du projet et confirmez la version installée de @sentry/nextjs ; comparez-la aux plages affectées indiquées ci-dessus [1].

2. Vérifiez si, dans la configuration de Sentry, vous avez défini une tunnelRoute et si le projet est construit avec webpack.

3. Identifiez si une route de votre application (y compris des segments dynamiques à la racine) pourrait coïncider avec la route configurée comme tunnel.

4. Vérifiez si l'autorisation de ces routes dépend exclusivement du middleware de Next.js, sans contrôle supplémentaire dans le handler lui-même ou sur le serveur.

5. Au-delà de cette revue interne, il convient de vérifier quelle surface de votre application est visible depuis l'extérieur, afin de détecter des routes ou des endpoints exposés que vous ne soupçonniez pas.

Comment vous protéger

• Mettez à jour @sentry/nextjs vers une des versions corrigées : 9.47.2, 10.75.2 ou 11.0.0-rc.1, selon la branche que vous utilisez [1]. Le radar d'OCIRIA recommande lui-même de « mettre à jour @sentry/nextjs vers la version corrigée immédiatement » [2].
• Ne laissez pas l'autorisation des routes sensibles reposer uniquement sur le middleware : ajoutez également des contrôles d'accès au sein même du handler ou du composant serveur, en défense en profondeur.
• Vérifiez si vous avez réellement besoin de la fonctionnalité tunnel active en production ; si vous ne l'utilisez pas, la désactiver réduit la surface de ce problème.
• Auditez les journaux d'accès à la recherche de requêtes inhabituelles vers des routes correspondant à votre tunnelRoute configurée.
• Intégrez cette vérification au cycle habituel de mise à jour des dépendances, et pas seulement comme une tâche ponctuelle.

Questions fréquentes

Qu'est-ce exactement que « tunnelRoute » ? Il s'agit d'une option de configuration de Sentry pour Next.js qui redirige les rapports d'erreur via une route propre à votre domaine, plutôt que de les envoyer directement aux serveurs de Sentry [1].

Suis-je concerné si j'utilise Sentry sur Next.js mais que je n'ai pas configuré tunnelRoute ? Selon la description officielle, l'exploitation requiert d'avoir configuré tunnelRoute et de compiler avec webpack, en plus d'une route entrant en collision avec celle-ci [1]. Si vous ne remplissez pas ces conditions, le scénario décrit ne s'applique pas directement, même s'il reste recommandé de mettre à jour.

Est-ce urgent de mettre à jour ? La faille a un score CVSS de 9.1, classée comme critique par NVD [1], et permet à un attaquant non authentifié d'accéder à des routes protégées. Compte tenu de cette combinaison, il convient de la traiter en priorité.

Qu'apporte le radar d'OCIRIA sur ce cas ? Notre radar place cette vulnérabilité dans la catégorie d'escalade de privilèges et confirme que le risque principal est le contournement de contrôles de sécurité critiques dans les applications Next.js qui utilisent Sentry pour la surveillance [2].

Sources

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-114139
• [2] https://github.com/advisories/GHSA-mchm-gjx6-7h55