标签
#nextjs
Sentry Next.js SDK 中间件绕过（CVE-2026-114139）
Sentry 将 CVE-2026-114139 评为严重，CVSS v4.0 9.1：在 webpack 构建中，@sentry/nextjs SDK 会为配置的 tunnelRoute 下所有路径跳过应用中间件，而隧道重写仅处理精确匹配的隧道路径，因此未通过身份验证的请求可在未经中间件授权的情况下访问隧道路径下的路由。受影响版本包括 @sentry/nextjs 9.36.0 至 9.47.1、10.75.2 之前的 10.x，以及 11.0.0-rc.1 之前的 11.0.0 预发布版本。9.47.2、10.75.2 和 11.0.0-rc.1 已修复；目前没有已知在野利用。
2026年10月24日
GHSA-2464-fhr4-w9xw（CVE-2026-96889）：Next.js Image Optimization 中的未授权 RCE
Vercel 将 GHSA-2464-fhr4-w9xw 评为严重，CVSS v4.0 9.5：在基于 glibc 的 Linux 上，如果 Next.js 10.0.0–15.5.27 或 1...
2026年10月23日
GHSA-673q-mjm6-r5xr：Next.js “use cache”函数中的未授权 RCE
GitHub Advisory Database 将 GHSA-673q-mjm6-r5xr 评为严重，CVSS v4.0 9.5：未经身份验证的攻击者可在使用 App Router、启用 Ca...
2026年10月23日