Múltiples vulnerabilidades en Next.js de Vercel

Múl­ti­ples vul­ne­ra­bi­li­da­des en Next.js de Ver­cel Vie, 16/10/2026 - 09:37 Aviso Re­cur­sos Afec­ta­dos Las si­guien­tes ver­sio­nes y con­fi­gu­ra­cio­nes de Next.js: ver­sio­nes desde la 16.0.0 hasta la 16.4.0, cuan­do se uti­li­za App Rou­ter con Cache Com­po­nents y una fun­ción use cache de­vuel­ve va­rios vec­to­res ti­pa­dos; ver­sio­nes desde la 10.0.0 hasta la 15.5.27 y ver­sio­nes pos­te­rio­res a la 16.0.0 hasta la 16.4.0, cuan­do la API Image Op­ti­mi­za­tion pro­ce­sa imá­ge­nes SVG en sis­te­mas Linux ba­sa­dos en glibc; ver­sio­nes desde la 13.0.0 hasta la 15.5.27 y desde la 16.0.0 hasta la 16.4.0, cuan­do se uti­li­za App Rou­ter con al menos una Ser­ver Ac­tion. Des­crip­ción Ver­cel ha pu­bli­ca­do 3 vul­ne­ra­bi­li­da­des en Next.js: 2 de se­ve­ri­dad crí­ti­ca y una de se­ve­ri­dad alta que, en caso de ser ex­plo­ta­das, po­drían per­mi­tir a un ata­can­te re­mo­to no au­ten­ti­ca­do eje­cu­tar có­di­go o pro­vo­car una de­ne­ga­ción de ser­vi­cio (DoS). Iden­ti­fi­ca­dor INCIBE-2026-752 So­lu­ción Ac­tua­li­zar Next.js a una de las si­guien­tes ver­sio­nes: Next.js 15.x: ver­sión 15.5.28; Next.js 16.x: ver­sión 16.4.1. Como me­di­da tem­po­ral para la vul­ne­ra­bi­li­dad de Image Op­ti­mi­za­tion, se puede uti­li­zar sharp 0.35.5 o pos­te­rior. La ac­tua­li­za­ción de Next.js ins­ta­la au­to­má­ti­ca­men­te una ver­sión co­rre­gi­da de esta de­pen­den­cia. De­ta­lle GHSA-673q-mjm6-r5xr : vul­ne­ra­bi­li­dad en apli­ca­cio­nes que uti­li­zan App Rou­ter con Cache Com­po­nents. Cuan­do una fun­ción use cache de­vuel­ve va­rios vec­to­res ti­pa­dos, un ata­can­te re­mo­to no au­ten­ti­ca­do po­dría eje­cu­tar có­di­go en el ser­vi­dor. Ac­tual­men­te no tiene asig­na­do un iden­ti­fi­ca­dor CVE. CVE-2026-96889 : vul­ne­ra­bi­li­dad de me­mo­ria en una li­bre­ría uti­li­za­da por la API Image Op­ti­mi­za­tion. El pro­ce­sa­mien­to de imá­ge­nes SVG es­pe­cial­men­te ma­ni­pu­la­das en sis­te­mas Linux ba­sa­dos en glibc po­dría per­mi­tir la eje­cu­ción re­mo­ta de có­di­go. 5 - Crí­ti­ca Lis­ta­do de re­fe­ren­cias Next.js Se­cu­rity Up­da­te for Ups­tream Vul­ne­ra­bi­li­ties Eti­que­tas Ac­tua­li­za­ción Có­di­go ar­bi­tra­rio De­ne­ga­ción de ser­vi­cio - DoS - DDoS RCE + Soft­wa­re Vul­ne­ra­bi­li­dad - CVE Iden­ti­fi­ca­dor CVE Se­ve­ri­dad Ex­plo­ta­ción Fa­bri­can­te CVE-2026-96889 Crí­ti­ca No VERCEL…