Múltiples vulnerabilidades en Next.js de Vercel
INCIBE-CERT avisos · 16 oct, 09:37
Vercel ha publicado tres vulnerabilidades críticas y de severidad alta en Next.js que afectan a múltiples versiones del marco de trabajo. Dos de ellas permiten ejecución remota de código sin autenticación en aplicaciones que usan App Router con Cache Components o Server Actions, y otra afecta al procesamiento de imágenes SVG. Se recomienda actualizar a Next.js 15.5.28 o 16.4.1 inmediatamente.
Las vulnerabilidades afectan a versiones amplias de Next.js: desde 16.0.0 a 16.4.0 cuando se usan App Router con Cache Components y funciones use cache que devuelven múltiples vectores tipados (GHSA-673q-mjm6-r5xr); desde 10.0.0 a 15.5.27 y 16.0.0 a 16.4.0 en el procesamiento de imágenes SVG por la API Image Optimization en sistemas Linux con glibc (CVE-2026-96889); y desde 13.0.0 a 15.5.27 y 16.0.0 a 16.4.0 al usar App Router con al menos una Server Action.
La vulnerabilidad CVE-2026-96889 es una falla de memoria en una librería dependiente que permite ejecución remota de código mediante imágenes SVG manipuladas. Como medida temporal, puede utilizarse sharp 0.35.5 o posterior hasta aplicar la actualización de Next.js, que instala automáticamente la versión corregida de esta dependencia.
Puntos clave
- Actualizar a Next.js 15.5.28 o 16.4.1 según la rama utilizada
- CVE-2026-96889: ejecución remota de código en Image Optimization con imágenes SVG
- GHSA-673q-mjm6-r5xr: ejecución remota en App Router con Cache Components
- Aplicaciones con Server Actions en App Router también están afectadas
- Parche temporal: usar sharp 0.35.5 o posterior