Tag
#nextjs
Contournement du middleware par le SDK Sentry Next.js (CVE-2026-114139)
Sentry classe CVE-2026-114139 comme critique, CVSS v4.0 9.1 : sur les builds webpack, le SDK @sentry/nextjs ignore le middleware applicatif pour tous les chemins sous un tunnelRoute configuré, alors que la réécriture du tunnel ne traite que son chemin exact. Une requête non authentifiée peut donc atteindre une route sous le tunnel sans autorisation par le middleware. Sont affectés @sentry/nextjs de 9.36.0 à 9.47.1, les versions 10.x antérieures à 10.75.2 et les préversions 11.0.0 antérieures à 11.0.0-rc.1. Corrigé dans 9.47.2, 10.75.2 et 11.0.0-rc.1 ; aucune exploitation réelle n’est connue.
24 octobre 2026
GHSA-2464-fhr4-w9xw (CVE-2026-96889) : RCE non authentifiée dans l'optimisation d'images Next.js
Vercel classe GHSA-2464-fhr4-w9xw comme critique, CVSS v4.0 9.5 : un attaquant non authentifié pe...
23 octobre 2026
GHSA-673q-mjm6-r5xr : RCE sans authentification dans les fonctions « use cache » de Next.js
GHSA-673q-mjm6-r5xr est classée critique, CVSS v4.0 9.5, dans la GitHub Advisory Database : un at...
23 octobre 2026