#authorization-bypass

Análisis a fondo

Sentry califica CVE-2026-114139 como crítico, CVSS v4.0 9.1: el SDK @sentry/nextjs omite el middleware de la aplicación para todas las rutas bajo un tunnelRoute configurado en compilaciones webpack, mientras que la reescritura del túnel solo atiende la ruta exacta. Así, una solicitud no autenticada puede alcanzar una ruta bajo el túnel sin autorización del middleware. Afecta a @sentry/nextjs 9.36.0 a 9.47.1, 10.x anterior a 10.75.2 y versiones preliminares de 11.0.0 anteriores a 11.0.0-rc.1. Corregido en 9.47.2, 10.75.2 y 11.0.0-rc.1; no se conoce explotación en ataques reales.