Next.js, un framework de desarrollo web ampliamente utilizado, ha lanzado una actualización de seguridad urgente para corregir dos vulnerabilidades críticas de ejecución remota de código (RCE) y una de denegación de servicio (DoS) de alta gravedad. Estas fallas, que afectan a diversas versiones y configuraciones de Next.js, requieren atención inmediata para proteger las aplicaciones web de posibles ataques.
Las vulnerabilidades RCE (CVSS 9.5) incluyen una en los React Server Components (GHSA-673q-mjm6-r5xr) que se activa bajo condiciones específicas con la función use cache en aplicaciones del App Router de Next.js 16. La segunda RCE (CVE-2026-96889, GHSA-2464-fhr4-w9xw) reside en la librería librsvg, utilizada a través del paquete sharp para procesar imágenes SVG, afectando a Next.js 10.0.0 a 16.4.0 en entornos Linux basados en glibc. Además, se identificó una falla de DoS (GHSA-p3m5-59mp-jv5r) en Server Actions que podría agotar los recursos del servidor en aplicaciones del App Router. Estas fallas pueden ser explotadas de forma remota y sin autenticación, permitiendo a un atacante tomar el control del servidor o dejar la aplicación inaccesible.
Vercel, el desarrollador de Next.js, recomienda encarecidamente actualizar a la versión 16.4.1 (para usuarios de Next.js 16) o 15.5.28 (para usuarios de Next.js 15), seguido de una reconstrucción y redistribución de la aplicación. Es crucial verificar que el paquete sharp se actualice a la versión 0.35.5 o posterior, especialmente en la rama 15.x. Como medida provisional para la falla de SVG, si no es posible la actualización inmediata de Next.js, se puede actualizar sharp de forma independiente o bloquear el renderizado de SVG en sharp con sharp.block({ operation: ["VipsForeignLoadSvg"] }). Las vulnerabilidades de use cache y Server Actions no tienen soluciones alternativas, por lo que la actualización es la única mitigación efectiva.
Qué significa para tu empresa: La explotación de vulnerabilidades críticas como estas en aplicaciones web puede resultar en la pérdida de datos, interrupción de servicios y graves daños a la reputación. Asegurar que sus aplicaciones Next.js estén actualizadas es fundamental. Nuestra capacidad de seguridad gestionada por capas (WAF para aplicaciones) puede ayudar a mitigar riesgos al proteger sus aplicaciones web contra intentos de explotación, incluso antes de que los parches sean aplicados, añadiendo una capa vital de defensa en su infraestructura.
Fuente original: The Hacker News — ver artículo →