Vulnerabilidades críticas en Next.js permiten ejecutar código de forma remota

Next.js ha pu­bli­ca­do ac­tua­li­za­cio­nes de se­gu­ri­dad para dos vul­ne­ra­bi­li­da­des crí­ti­cas que po­drían per­mi­tir a ata­can­tes re­mo­tos eje­cu­tar có­di­go ma­li­cio­so sin ne­ce­si­dad de ini­ciar se­sión. Una ter­ce­ra vul­ne­ra­bi­li­dad, de alta gra­ve­dad, po­dría im­pe­dir que las apli­ca­cio­nes afec­ta­das pro­ce­sen so­li­ci­tu­des.

Los pro­ble­mas están re­la­cio­na­dos con fun­cio­nes en caché, el pro­ce­sa­mien­to de imá­ge­nes SVG y las "Ser­ver Ac­tions" (ac­cio­nes de ser­vi­dor). Las co­rrec­cio­nes ya están dis­po­ni­bles en las ver­sio­nes 16.4.1 y 15.5.28 de Next.js. Los avi­sos, pu­bli­ca­dos el 14 de oc­tu­bre de 2026, des­cri­ben dis­tin­tas vías de ata­que con re­qui­si­tos di­fe­ren­tes.

Ambas vul­ne­ra­bi­li­da­des de eje­cu­ción re­mo­ta de có­di­go tie­nen una pun­tua­ción de 9,5, mien­tras que el pro­ble­ma de de­ne­ga­ción de ser­vi­cio tiene una pun­tua­ción de 8,2. El nivel de ex­po­si­ción de­pen­de de la con­fi­gu­ra­ción de la apli­ca­ción y de las fun­cio­nes ha­bi­li­ta­das; por tanto, ve­ri­fi­car la ver­sión es solo una parte de la eva­lua­ción de ries­gos.

La pri­me­ra vul­ne­ra­bi­li­dad, re­gis­tra­da como GHSA-673q-mjm6-r5xr, afec­ta a las apli­ca­cio­nes que uti­li­zan "App Rou­ter" y "Cache Com­po­nents". Una apli­ca­ción se vuel­ve vul­ne­ra­ble cuan­do una fun­ción `use cache` de­vuel­ve múl­ti­ples "typed arrays". En estas con­di­cio­nes, los ata­can­tes po­drían lo­grar la eje­cu­ción re­mo­ta de có­di­go sin ne­ce­si­dad de au­ten­ti­ca­ción ni in­ter­ac­ción por parte del usua­rio.

Las ver­sio­nes de Next.js com­pren­di­das entre la 16.0.0 y la 16.4.0 se ven afec­ta­das por este fallo, el cual ha sido co­rre­gi­do en la ver­sión 16.4.1. Se re­co­mien­da a los de­sa­rro­lla­do­res ac­tua­li­zar de in­me­dia­to, ya que no exis­te nin­gu­na so­lu­ción al­ter­na­ti­va ni iden­ti­fi­ca­dor CVE dis­po­ni­ble…