Vulnerabilidades críticas en Next.js permiten ejecutar código de forma remota
Segu-Info · 16 oct, 01:07
Next.js ha publicado parches de seguridad para dos vulnerabilidades críticas de ejecución remota de código (RCE) sin autenticación y una tercera de denegación de servicio, disponibles en las versiones 16.4.1 y 15.5.28. Los problemas afectan a funciones en caché, procesamiento de imágenes SVG y Server Actions, con requisitos de configuración específicos que determinan la exposición real de cada aplicación.
La primera vulnerabilidad (GHSA-673q-mjm6-r5xr) afecta a aplicaciones que utilizan App Router y Cache Components, específicamente cuando una función `use cache` devuelve múltiples typed arrays. Esto permite RCE sin autenticación. Las versiones 16.0.0 a 16.4.0 están afectadas; la corrección llegó en 16.4.1 sin soluciones alternativas disponibles.
La segunda vulnerabilidad (CVE-2026-96889 / GHSA-2464-fhr4-w9xw) es un problema de memoria en la biblioteca externa que gestiona archivos SVG en la API de optimización de imágenes. Afecta a versiones 10.0.0 hasta 15.5.27 y 16.0.0 hasta 16.4.0, específicamente en sistemas Linux con glibc. Los desarrolladores pueden mitigar asegurando que sharp esté en versión 0.35.5 o superior. Ambas vulnerabilidades RCE tienen puntuación 9,5, mientras que el problema de denegación de servicio tiene 8,2.
Puntos clave
- Primera vulnerabilidad: GHSA-673q-mjm6-r5xr en Cache Components, sin CVE, Next.js 16.0.0 a 16.4.0
- Segunda vulnerabilidad: CVE-2026-96889, memoria en biblioteca SVG, Next.js 10.0.0 a 15.5.27 y 16.0.0 a 16.4.0
- Ambas permiten RCE sin autenticación; actualiza Next.js a 16.4.1 o 15.5.28
- Mitiga problema de imágenes SVG asegurando sharp 0.35.5 o superior
- El riesgo real depende de la configuración de la aplicación y funciones habilitadas