Më 22 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-mchm-gjx6-7h55 (CVE-2026-114139) për një dobësi me rrezikshmëri kritike (CVSS 9.1) në paketën @sentry/nextjs të ekosistemit npm. Dobësia prek gjithsej 3 paketa.
Paketat e prekura
- @sentry/nextjs (npm) — versionet e prekura:
>= 9.36.0, < 9.47.2; versioni me rregullim:9.47.2 - @sentry/nextjs (npm) — versionet e prekura:
>= 10.0.0-alpha.0, < 10.75.2; versioni me rregullim:10.75.2 - @sentry/nextjs (npm) — versionet e prekura:
>= 11.0.0-alpha.0, < 11.0.0-rc.1; versioni me rregullim:11.0.0-rc.1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.1)
- CWE: CWE-693 (Protection Mechanism Failure)
- Identifikuesit: GHSA-mchm-gjx6-7h55, CVE-2026-114139
Përmbledhja zyrtare
Sentry-Javascript: Anashkalim i middleware kur përdoret rruga e tunelit
Opsioni tunnelRoute bën që SDK-ja t’i dërgojë ngjarjet e shfletuesit në një rrugë të serverit tuaj Next.js, për shembull /monitoring. Aty, një rregull rewrite i përcjell kërkesat te Sentry, për të shmangur bllokimin e tyre nga bllokuesit e reklamave.
Për të mos lejuar që middleware t’i refuzojë këto kërkesa të tipit envelope, SDK-ja e anashkalon middleware për to. Megjithatë, anashkalimi zbatohej më gjerësisht sesa rregulli rewrite: ky i fundit shërben vetëm kërkesat drejt vetë rrugës së tunelit, kur parametrat o dhe p janë të vendosur.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin @sentry/nextjs, përditësojeni sa më shpejt në versionin 9.47.2 ose më të ri.
