Múltiples vulnerabilidades en Next.js de Vercel Vie, 16/10/2026 - 09:37
Aviso
Recursos Afectados
Las siguientes versiones y configuraciones de Next.js:versiones desde la 16.0.0 hasta la 16.4.0, cuando se utiliza App Router con Cache Components y una función use cache devuelve varios vectores tipados;versiones desde la 10.0.0 hasta la 15.5.27 y versiones posteriores a la 16.0.0 hasta la 16.4.0, cuando la API Image Optimization procesa imágenes SVG en sistemas Linux basados en glibc;versiones desde la 13.0.0 hasta la 15.5.27 y desde la 16.0.0 hasta la 16.4.0, cuando se utiliza App Router con al menos una Server Action.
Descripción
Vercel ha publicado 3 vulnerabilidades en Next.js: 2 de severidad crítica y una de severidad alta que, en caso de ser explotadas, podrían permitir a un atacante remoto no autenticado ejecutar código o provocar una denegación de servicio (DoS).
Identificador
INCIBE-2026-752
Solución
Actualizar Next.js a una de las siguientes versiones:Next.js 15.x: versión 15.5.28;Next.js 16.x: versión 16.4.1.Como medida temporal para la vulnerabilidad de Image Optimization, se puede utilizar sharp 0.35.5 o posterior. La actualización de Next.js instala automáticamente una versión corregida de esta dependencia.
Detalle
GHSA-673q-mjm6-r5xr: vulnerabilidad en aplicaciones que utilizan App Router con Cache Components. Cuando una función use cache devuelve varios vectores tipados, un atacante remoto no autenticado podría ejecutar código en el servidor. Actualmente no tiene asignado un identificador CVE.CVE-2026-96889: vulnerabilidad de memoria en una librería utilizada por la API Image Optimization. El procesamiento de imágenes SVG especialmente manipuladas en sistemas Linux basados en glibc podría permitir la ejecución remota de código.
5 - Crítica
Listado de referencias
Next.js Security Update for Upstream Vulnerabilities
Etiquetas
Actualización
Código arbitrario
Denegación de servicio - DoS - DDoS
RCE
+
Software
Vulnerabilidad
-
CVE
Identificador CVE
Severidad
Explotación
Fabricante
CVE-2026-96889
Crítica
No
VERCEL