Sentry @sentry/nextjs: Middleware-Umgehung über tunnelRoute

Zusammenfassung

Die webpack-Integration des Sentry JavaScript SDK für Next.js überspringt die Applikations-Middleware für alle Anfragepfade unterhalb einer konfigurierten tunnelRoute. Kollidiert eine Applikationsroute mit dem Tunnelpfad, kann ein nicht authentifizierter Angreifer aus dem Netzwerk diese Route ohne die Autorisierungsprüfung der Middleware erreichen. Voraussetzungen sind eine gesetzte tunnelRoute, ein webpack-Build, eine kollidierende Route und die Middleware als einzige Autorisierungskontrolle. Routen, die Sessions serverseitig prüfen, sind von dieser Schwachstelle nicht betroffen.

Betroffen

• @sentry/nextjs >= 9.36.0, < 9.47.2
• @sentry/nextjs >= 10.0.0-alpha.0, < 10.75.2
• @sentry/nextjs >= 11.0.0-alpha.0, < 11.0.0-rc.1
• Nur Applikationen mit gesetzter tunnelRoute, die mit webpack gebaut werden (Turbopack-Builds sind nicht betroffen)

Behoben in

• 9.47.2
• 10.75.2
• 11.0.0-rc.1
• Spätere Releases derselben Linie enthalten die Korrektur ebenfalls.

Umgehung

• tunnelRoute auf einen Pfad setzen, den keine Route der Applikation auflösen kann, oder die Option tunnelRoute entfernen.
• Autorisierung in der Route, im Layout oder in der Datenzugriffsschicht durchsetzen und nicht nur in der Middleware.

Ausnutzung

• CVSS 4.0 Basiswert 9.1 (kritisch), Angriffsvektor Netzwerk, keine Berechtigungen und keine Benutzerinteraktion erforderlich.
• CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung total.
• Zum Zeitpunkt der Recherche sind keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept bekannt.

Unsere Empfehlung

• Prüfen, ob @sentry/nextjs verwendet wird (z. B. mit npm ls @sentry/nextjs) und ob tunnelRoute gesetzt ist.
• Auf 9.47.2, 10.75.2, 11.0.0-rc.1 oder ein späteres Release der jeweiligen Hauptversion aktualisieren.
• Falls tunnelRoute gesetzt ist, nur durch Middleware geschützte Routen prüfen und serverseitige Autorisierungsprüfungen ergänzen.
• Internetexponierte Next.js-Applikationen priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-mchm-gjx6-7h55 github.com
• Fix commit 878b685 (main) github.com
• Fix commit c122aac github.com
• Release 9.47.2 github.com
• Release 10.75.2 github.com
• Release 11.0.0-rc.1 github.com
• OSV entry GHSA-mchm-gjx6-7h55 osv.dev
• GitHub Advisory GHSA-mchm-gjx6-7h55 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:34.