CVE-2026-114139 in sentry-javascript
Riassunto
di VulDB • 22/10/2026
Sentry-Javascript è un SDK ufficiale di Sentry per JavaScript. Dalla versione 9.36.0 fino alle versioni 9.47.2, 10.75.2 e 11.0.0-rc.1, l'integrazione webpack per @sentry/nextjs salta i middleware dell'applicazione per ogni percorso di richiesta sotto un tunnelRoute configurato, mentre la riscrittura del tunnel serve solo il percorso esatto del tunnel con parametri query o e p validi. Quando una rotta dell'applicazione collide direttamente con il percorso del tunnel oppure quando un segmento dinamico radice si risolve al suo interno, una richiesta non autenticata può raggiungere quella rotta senza l'autorizzazione dei middleware. Lo sfruttamento richiede la configurazione di tunnelRoute, una build webpack, una rotta in collisione e che i middleware siano l'unico controllo di autorizzazione. Questo problema è risolto nelle versioni 9.47.2, 10.75.2 e 11.0.0-rc.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.