Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en Next.js de Vercel

Resumen de la alerta

Vercel ha publicado una actualización de seguridad para corregir tres vulnerabilidades en Next.js: dos clasificadas como críticas y una como alta. Los problemas pueden afectar a aplicaciones que empleen App Router, Cache Components, Server Actions o la API Image Optimization, según la configuración y la versión instalada.

El impacto potencial incluye la ejecución remota de código en el servidor y la denegación de servicio (DoS). La ejecución remota de código podría permitir a un atacante ejecutar acciones en el entorno donde se aloja la aplicación vulnerable.

La vulnerabilidad CVE-2026-96889 figura con estado de explotación No. La información disponible no indica explotación activa de esta vulnerabilidad.

Recursos afectados

El aviso afecta a las siguientes versiones y escenarios de uso de Next.js:

• Next.js desde la versión 16.0.0 hasta la 16.4.0 cuando se utiliza App Router con Cache Components y una función use cache devuelve varios vectores tipados.
• Next.js desde la versión 10.0.0 hasta la 15.5.27, así como versiones posteriores a la 16.0.0 hasta la 16.4.0, cuando la API Image Optimization procesa imágenes SVG en sistemas Linux basados en glibc.
• Next.js desde la versión 13.0.0 hasta la 15.5.27 y desde la 16.0.0 hasta la 16.4.0 cuando se utiliza App Router con al menos una Server Action.

Descripción de las vulnerabilidades

La actualización aborda tres fallos de seguridad. La información técnica disponible identifica expresamente dos de ellos:

• GHSA-673q-mjm6-r5xr: afecta a aplicaciones que combinan App Router y Cache Components. El problema se produce cuando una función use cache devuelve varios vectores tipados. En esas condiciones, un atacante remoto no autenticado podría llegar a ejecutar código en el servidor. Esta vulnerabilidad no dispone actualmente de un identificador CVE asignado.
• CVE-2026-96889: vulnerabilidad crítica de memoria en una biblioteca empleada por la API Image Optimization. El procesamiento de archivos SVG especialmente manipulados en sistemas Linux basados en glibc podría permitir ejecución remota de código.

El aviso también incluye una tercera vulnerabilidad relacionada con despliegues que utilizan App Router y al menos una Server Action. De acuerdo con la información publicada, el conjunto de fallos puede permitir ejecución de código o provocar condiciones de denegación de servicio, dependiendo del componente afectado y de la configuración de la aplicación.

Impacto y nivel de riesgo

Las vulnerabilidades críticas requieren una atención prioritaria porque podrían facilitar la ejecución de código en el servidor desde una ubicación remota y sin autenticación, en los escenarios expresamente indicados. Este tipo de impacto puede comprometer la integridad y disponibilidad de los servicios que ejecutan aplicaciones Next.js vulnerables.

Por otro lado, una denegación de servicio puede afectar a la disponibilidad de la aplicación o de sus funciones expuestas, al impedir que el servicio procese solicitudes de forma adecuada.

La existencia de una vulnerabilidad no confirma que haya sido explotada. Para CVE-2026-96889, el aviso indica Explotación: No; por tanto, no se debe interpretar esta alerta como evidencia de ataques activos conocidos contra esta vulnerabilidad.

Solución y medidas recomendadas

La medida principal es actualizar Next.js a una versión corregida:

• Rama Next.js 15.x: actualizar a la versión 15.5.28.
• Rama Next.js 16.x: actualizar a la versión 16.4.1.

Como medida temporal para la vulnerabilidad vinculada a Image Optimization, puede utilizarse sharp 0.35.5 o una versión posterior. La actualización de Next.js instala automáticamente una versión corregida de esta dependencia.

Recomendaciones para organizaciones afectadas

1. Identificar las aplicaciones que utilicen Next.js y verificar la versión desplegada en cada entorno.
2. Priorizar la actualización de los servicios que empleen App Router con Cache Components, Server Actions o Image Optimization.
3. Revisar específicamente los entornos Linux basados en glibc donde se procesen imágenes SVG mediante la API Image Optimization.
4. Actualizar Next.js a la versión corregida correspondiente a la rama utilizada: 15.5.28 o 16.4.1.
5. Cuando no sea posible aplicar de inmediato la actualización de Next.js para el caso de Image Optimization, comprobar el uso de sharp 0.35.5 o una versión posterior como medida temporal indicada en el aviso.