Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-693

CVE-2026-114139

Sentry JavaScript SDK (@sentry/nextjs) tunnel rotası nedeniyle middleware atlatma açığı

getsentry sentry-javascript

Kritik 9,1 CVSS 4.0
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
6 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, yazılım uygulamalarındaki erişim kontrolünün bir kısmını devre dışı bırakabilir ve kimliği doğrulanmamış kişilerin korumalı alanlara girmesine yol açabilir. Açığın istismarı belirli yapılandırma koşullarına bağlı olsa da, etkilenen sistemlerde güncelleme yapılması öncelikli olarak planlanmalıdır.

ÖzetTürkçe

Sentry JavaScript SDK'sındaki @sentry/nextjs paketinde, webpack entegrasyonu yapılandırılmış tunnelRoute altındaki tüm istek yollarında uygulama middleware'ini atlamaktadır. Uygulamadaki bir rota tünel yoluyla doğrudan çakışırsa ya da kök dinamik bir segment bu yol altında çözümlenirse, kimlik doğrulaması yapılmamış bir istek middleware yetkilendirmesi olmadan bu rotaya ulaşabilir. Açık, 9.36.0 ile 9.47.2 öncesi, 10.75.2 öncesi ve 11.0.0-rc.1 öncesi sürümleri etkilemektedir.

Saldırgan ne yapabilir?

Saldırgan, middleware'in sağladığı yetkilendirme kontrolünü aşarak korumalı uygulama rotalarına kimlik doğrulaması olmadan erişebilir; bu da veri okuma ve yetkisiz işlem yapma riskini doğurur.

Kaynaktaki açıklama (İngilizce)

Sentry-Javascript is an official Sentry SDKs for JavaScript. From 9.36.0 until 9.47.2, 10.75.2, and 11.0.0-rc.1, the webpack integration for @sentry/nextjs skips application middleware for every request path under a configured tunnelRoute, while the tunnel rewrite serves only the exact tunnel path with valid o and p query parameters. When an application route directly collides with the tunnel path or a root dynamic segment resolves under it, an unauthenticated request can reach that route without middleware authorization. Exploitation requires tunnelRoute, a webpack build, a colliding route, and middleware being the only authorization control. This issue is fixed in versions 9.47.2, 10.75.2, and 11.0.0-rc.1.

Ne yapmalı?

  1. @sentry/nextjs paketini 9.47.2, 10.75.2 veya 11.0.0-rc.1 sürümlerine güncelleyin; kullandığınız ana sürüme uygun düzeltilmiş sürümü seçin. Genel öneri
  2. Güncelleme yapamıyorsanız, tunnelRoute yapılandırmasını kaldırın ya da tünel yolunu uygulamanızdaki hiçbir rota ya da dinamik segment ile çakışmayacak şekilde değiştirin. Genel öneri
  3. Middleware'in tek yetkilendirme kontrolü olmadığından emin olun; kritik rotaları middleware'den bağımsız olarak sunucu tarafında yeniden doğrulayın. Genel öneri
  4. Güncellemeden sonra tünel yolu ile çakışan rotalara kimlik doğrulaması olmadan erişim denemesi yaparak middleware korumasının çalıştığını doğrulayın. Genel öneri

Ek önlemler

  • Yetkilendirmeyi yalnızca middleware'e bağlamayın; her korumalı rotada sunucu tarafında ikinci bir doğrulama uygulayın. Genel öneri
  • Bağımlılık sürümlerini düzenli olarak denetleyin ve güvenlik duyurularını takip edin. Genel öneri
  • Uygulama rotaları ile yapılandırma yollarının çakışmadığını yapılandırma incelemelerinde kontrol edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
getsentry sentry-javascript Sürüm belirtilmemiş –

Kaynaklar12 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.