#authorization-bypass

Analyse approfondie

Sentry classe CVE-2026-114139 comme critique, CVSS v4.0 9.1 : sur les builds webpack, le SDK @sentry/nextjs ignore le middleware applicatif pour tous les chemins sous un tunnelRoute configuré, alors que la réécriture du tunnel ne traite que son chemin exact. Une requête non authentifiée peut donc atteindre une route sous le tunnel sans autorisation par le middleware. Sont affectés @sentry/nextjs de 9.36.0 à 9.47.1, les versions 10.x antérieures à 10.75.2 et les préversions 11.0.0 antérieures à 11.0.0-rc.1. Corrigé dans 9.47.2, 10.75.2 et 11.0.0-rc.1 ; aucune exploitation réelle n’est connue.