Next.js Ships Out-of-Band Patch for Two Critical RCE Flaws in Caching and SVG Processing
The Hacker News · 15 oct, 14:28
Next.js lanzó un parche de emergencia el 14 de octubre que cierra dos flaws de ejecución remota de código crítica (CVSS 9.5) y un defecto de denegación de servicio de severidad alta. Una vulnerabilidad afecta a React Server Components con cachés tipadas múltiples; la otra reside en librsvg, usada a través del paquete sharp para procesar SVG. Las versiones corregidas son Next.js 16.4.1 y 15.5.28.
El primer flaw de ejecución de código se encuentra en React Server Components en versiones 19.0.0 a 19.3.0, afectando a aplicaciones Next.js versión 16 que usan Cache Components con funciones use cache que retornan más de un typed array. El segundo flaw es un bug de memoria en librsvg (CVE-2026-96889) que permite ejecución de código cuando Next.js corre en Linux basado en glibc, principalmente al pasar archivos SVG controlados por atacantes a sharp o al usar next/og con el runtime de Node.js. Por defecto, Next.js no optimiza SVG a menos que esté habilitado dangerouslyAllowSVG. El tercer flaw es una denegación de servicio en aplicaciones App Router con Server Actions, donde solicitudes manipuladas pueden consumir CPU completa.
Esta es la tercera vulnerabilidad de procesamiento de imágenes en Next.js desde agosto. El flaw de librsvg fue anunciado el 23 de septiembre y corregido en sharp el 27 de septiembre (librsvg 2.63.2). El investigador Rafael B. Dias reportó que este bug subyace al flaw anterior de next/og de septiembre, para el cual ya existe un exploit público. Netlify reportó impacto limitado en su plataforma al no ejecutar la ruta image-optimizer.
Puntos clave
- Actualiza a Next.js 16.4.1 (versión 16) o 15.5.28 (versión 15) y reconstruye la aplicación
- En versión 15, verifica que sharp esté en 0.35.5 o posterior; upgrading puede dejar la versión antigua en su lugar
- Sin workaround para los flaws de use cache y Server Actions; solo el upgrade los cierra
- La vulnerabilidad de SVG se puede mitigar temporalmente bloqueando VipsForeignLoadSvg en sharp si no se puede upgrading inmediatamente
- Los advisories de use cache y Server Actions no tienen CVE ni aparecen en npm audit