CVE-2026-114139: bypass critic de middleware în Sentry pentru Next.js

CVE-2026-114139: bypass critic de middleware în Sentry pentru Next.js

În scurt

A fost făcută publică o vulnerabilitate critică, identificată ca CVE-2026-114139, cu un scor CVSS de 9.1 din 10 [1], publicată pe 21 octombrie 2026 [1]. Afectează Sentry-Javascript, setul de SDK-uri oficiale ale Sentry, mai concret integrarea @sentry/nextjs atunci când o aplicație Next.js folosește funcția "tunnel" pentru a raporta erori și este construită cu webpack [1]. În acest scenariu, o cerere neautentificată poate ajunge să sară peste middleware-ul aplicației și să acceseze rute pe care acesta ar trebui să le protejeze [1]. Dacă firma ta are aplicații Next.js cu Sentry configurat, prioritatea de astăzi este să verifici versiunea instalată de @sentry/nextjs și să actualizezi la o versiune corectată cât mai rapid posibil.

Ce este și de ce este important

Multe aplicații Next.js integrează Sentry pentru a monitoriza erorile în producție. Pentru a evita ca blocatoarele de reclame sau extensiile browserului să întrerupă acest trafic, Sentry oferă o funcție numită "tunnel", care redirecționează rapoartele de erori prin propriul domeniu al aplicației, printr-o rută configurabilă (tunnelRoute) [1].

Problema stă în modul în care integrarea webpack a @sentry/nextjs implementează acest mecanism în versiunile afectate: rescrierea tunnel-ului ar trebui să servească doar ruta exactă a tunnel-ului atunci când ajung parametrii valizi "o" și "p", dar middleware-ul aplicației este omis pentru orice rută situată sub tunnelRoute configurată [1]. Dacă o rută proprie a aplicației coincide cu acea rută de tunnel, sau dacă un segment dinamic din rădăcina site-ului se rezolvă sub aceasta, o cerere neautentificată poate ajunge la respectiva rută fără a trece prin verificarea de autorizare a middleware-ului [1]. Exploatarea necesită, prin urmare, ca tunnelRoute să fie configurată, un build realizat cu webpack, o rută care intră în coliziune cu tunnel-ul și ca middleware-ul să fie singurul control de autorizare al acelei rute [1].

Radarul de inteligență al OCIRIA rezumă riscul în mod direct: această vulnerabilitate "permite eludarea middleware-ului de securitate în @sentry/nextjs atunci când se utilizează ruta Tunnel" și, din acest motiv, "afectează aplicațiile Next.js care folosesc Sentry pentru monitorizare, permițând omiterea unor controale de securitate critice" [2]. OCIRIA o clasifică în categoria de escaladare a privilegiilor [2], în concordanță cu severitatea critică atribuită și de NVD [1].

Pe cine afectează

Afectează aplicațiile Next.js care folosesc pachetul @sentry/nextjs în versiunile cuprinse între 9.36.0 și, respectiv, 9.47.2, 10.75.2 și 11.0.0-rc.1 (versiuni anterioare corecțiilor) [1]. Nu orice instalare de Sentry în Next.js este expusă: conform descrierii oficiale, este necesar să ai configurată opțiunea tunnelRoute, să compilezi cu webpack (nu cu alte bundlere) și să existe o rută a aplicației care intră în coliziune cu acea rută de tunnel, depinzând exclusiv de middleware pentru protecția sa [1]. Echipele de produs, dezvoltare și securitate ale companiilor care folosesc Next.js cu Sentry pentru observabilitate ar trebui să își revizuiască configurația, indiferent de mărimea organizației.

Cum să afli dacă ești vulnerabil

1. Verifică fișierul package.json sau lockfile-ul proiectului și confirmă versiunea instalată de @sentry/nextjs; compar-o cu intervalele afectate indicate mai sus [1].

2. Verifică dacă în configurația Sentry ai definită o tunnelRoute și dacă proiectul se construiește cu webpack.

3. Identifică dacă vreo rută a aplicației tale (inclusiv segmente dinamice din rădăcină) ar putea coincide cu ruta configurată ca tunnel.

4. Verifică dacă autorizarea acestor rute depinde exclusiv de middleware-ul Next.js, fără o verificare adițională în handler-ul propriu-zis sau pe server.

5. În plus față de această revizuire internă, este recomandabil să verifici ce suprafață a aplicației tale este vizibilă din exterior, pentru a detecta rute sau endpoint-uri expuse pe care nu le anticipai.

Cum să te protejezi

• Actualizează @sentry/nextjs la una dintre versiunile corectate: 9.47.2, 10.75.2 sau 11.0.0-rc.1, în funcție de ramura pe care o folosești [1]. Chiar radarul OCIRIA recomandă "actualizarea @sentry/nextjs la versiunea cu patch imediat" [2].
• Nu lăsa autorizarea rutelor sensibile exclusiv în sarcina middleware-ului: adaugă și verificări de acces în interiorul handler-ului propriu-zis sau al componentei de server, ca apărare în profunzime.
• Analizează dacă ai cu adevărat nevoie de funcția tunnel activă în producție; dacă nu o folosești, dezactivarea ei reduce suprafața acestei probleme.
• Auditează jurnalele (log-urile) de acces în căutarea unor cereri neobișnuite către rute care coincid cu tunnelRoute configurată.
• Include această verificare în ciclul obișnuit de actualizare a dependențelor, nu doar ca o sarcină punctuală.

Întrebări frecvente

Ce este exact "tunnelRoute"? Este o opțiune de configurare a Sentry pentru Next.js care redirecționează rapoartele de erori printr-o rută proprie a domeniului tău, în loc să le trimită direct către serverele Sentry [1].

Sunt afectat dacă folosesc Sentry în Next.js, dar nu am configurat tunnelRoute? Conform descrierii oficiale, exploatarea necesită configurarea tunnelRoute și compilarea cu webpack, pe lângă o rută care intră în coliziune cu aceasta [1]. Dacă nu îndeplinești aceste condiții, scenariul descris nu se aplică direct, însă rămâne recomandabil să actualizezi.

Este urgent să actualizez? Defectul are un scor CVSS de 9.1, clasificat ca critic de NVD [1], și permite unui atacator neautentificat să acceseze rute protejate. Având în vedere această combinație, este indicat să fie tratat ca prioritar.

Ce aduce în plus radarul OCIRIA despre acest caz? Radarul nostru plasează această vulnerabilitate în categoria de escaladare a privilegiilor și confirmă că riscul principal este omiterea unor controale de securitate critice în aplicațiile Next.js care folosesc Sentry pentru monitorizare [2].

Surse

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-114139
• [2] https://github.com/advisories/GHSA-mchm-gjx6-7h55