CVE-2026-114139
Sentry-Javascript: Middleware Bypass when using Tunnel route
CVSS 3.1Critical
9.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 9.47.2, 10.75.2, 11.0.0-rc.1
Обновите библиотеку @sentry/nextjs до версий 9.47.2, 10.75.2 или 11.0.0-rc.1.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Обход middleware-авторизации в @sentry/nextjs при включенном туннелировании.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Интеграция webpack для @sentry/nextjs в версиях от 9.36.0 до 9.47.2, 10.75.2 и 11.0.0-rc.1 отключает выполнение middleware для всех маршрутов, вложенных в tunnelRoute. Если рабочий маршрут приложения совпадает с tunnelRoute или попадает под динамический сегмент корня, запрос обрабатывается в обход middleware.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Неаутентифицированный доступ к защищенным эндпоинтам приложения в обход политик авторизации.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
getsentrysentry-javascript
>= 9.36.0➔Fix: 9.47.2
getsentrysentry-javascript
>= 10.0.0-alpha.0➔Fix: 10.75.2
getsentrysentry-javascript
>= 11.0.0-alpha.0➔Fix: 11.0.0-rc.1
——
>= 9.36.0➔Fix: 9.47.2
——
>= 10.0.0-alpha.0➔Fix: 10.75.2
——
>= 11.0.0-alpha.0➔Fix: 11.0.0-rc.1
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (10)
- github.comhttps://github.com/getsentry/sentry-javascript/security/advisories/GHSA-mchm-gjx6-7h55
- github.comhttps://github.com/getsentry/sentry-javascript/pull/24499
- github.comhttps://github.com/getsentry/sentry-javascript/pull/24565
- github.comhttps://github.com/getsentry/sentry-javascript/pull/24760
- github.comhttps://github.com/getsentry/sentry-javascript/commit/878b685c85dc12045e47e1932c96f5381d7ac532
- github.comhttps://github.com/getsentry/sentry-javascript/commit/c122aac4f29541eb6da494296822c91eab3cf5ae
- github.comhttps://github.com/getsentry/sentry-javascript/commit/d525a2f6015b47384bc139c30d58e0d5435d52e5
- github.comhttps://github.com/getsentry/sentry-javascript/releases/tag/10.75.2
- github.comhttps://github.com/getsentry/sentry-javascript/releases/tag/11.0.0-rc.1
- github.comhttps://github.com/getsentry/sentry-javascript/releases/tag/9.47.2
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-114139: Sentry-Javascript: Middleware Bypass when using Tunnel route. URL: https://cve.futuretools.ru/cve/CVE-2026-114139
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_114139,
title = {{CVE-2026-114139: Sentry-Javascript: Middleware Bypass when using Tunnel route}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-114139}},
note = {Оперативный инженерный анализ киберугроз}
}