Múltiples vulnerabilidades en Next.js en Vercel

Ver­cel ha dado a co­no­cer la exis­ten­cia de dos fa­llos de se­gu­ri­dad con­si­de­ra­dos de gra­ve­dad crí­ti­ca que afec­tan a la pla­ta­for­ma Next.js. Si estas fa­llas son apro­ve­cha­das por un ata­can­te, exis­te la po­si­bi­li­dad de que este logre eje­cu­tar có­di­go de ma­ne­ra re­mo­ta en los sis­te­mas afec­ta­dos.

Entre los pro­ble­mas iden­ti­fi­ca­dos se en­cuen­tra el fallo re­gis­tra­do como CVE-2026-75604, el cual im­pac­ta a los de­sa­rro­llos que hacen uso de Pages y App Rou­ter sin el com­po­nen­te Cache, per­mi­tien­do la eje­cu­ción re­mo­ta de có­di­go por parte de ata­can­tes si el ser­vi­dor opera sobre equi­pos con sis­te­ma ope­ra­ti­vo Win­dows. Asi­mis­mo, se de­tec­tó otra de­bi­li­dad de se­gu­ri­dad en la bi­blio­te­ca 'libheif', uti­li­za­da por sharp para op­ti­mi­zar imá­ge­nes en Next.js, la cual puede ser ex­plo­ta­da al pro­ce­sar ar­chi­vos AVIF para lo­grar tam­bién una eje­cu­ción re­mo­ta de có­di­go, aun­que este se­gun­do pro­ble­ma to­da­vía no cuen­ta con un iden­ti­fi­ca­dor CVE asig­na­do.

Para mi­ti­gar estos ries­gos, la so­lu­ción re­co­men­da­da con­sis­te en ac­tua­li­zar el soft­wa­re a las ver­sio­nes 15.5.24 o 16.3.3. Los re­cur­sos que se en­cuen­tran bajo ries­go com­pren­den las ver­sio­nes de Next.js si­tua­das a par­tir de la 10.0.0 y pre­vias a la 15.5.24, así como las ver­sio­nes com­pren­di­das desde la 16.0.0 hasta antes de la 16.3.3.