Múltiples vulnerabilidades en Next.js de Vercel
Fecha de publicación 16/10/2026
Identificador
INCIBE-2026-752
Importancia
5 - Crítica
Recursos Afectados
Las siguientes versiones y configuraciones de Next.js:
- versiones desde la 16.0.0 hasta la 16.4.0, cuando se utiliza App Router con Cache Components y una función use cache devuelve varios vectores tipados;
- versiones desde la 10.0.0 hasta la 15.5.27 y versiones posteriores a la 16.0.0 hasta la 16.4.0, cuando la API Image Optimization procesa imágenes SVG en sistemas Linux basados en glibc;
- versiones desde la 13.0.0 hasta la 15.5.27 y desde la 16.0.0 hasta la 16.4.0, cuando se utiliza App Router con al menos una Server Action.
Descripción
Vercel ha publicado 3 vulnerabilidades en Next.js: 2 de severidad crítica y una de severidad alta que, en caso de ser explotadas, podrían permitir a un atacante remoto no autenticado ejecutar código o provocar una denegación de servicio (DoS).
Solución
Actualizar Next.js a una de las siguientes versiones:
- Next.js 15.x: versión 15.5.28;
- Next.js 16.x: versión 16.4.1.
Como medida temporal para la vulnerabilidad de Image Optimization, se puede utilizar sharp 0.35.5 o posterior. La actualización de Next.js instala automáticamente una versión corregida de esta dependencia.
Detalle
- GHSA-673q-mjm6-r5xr: vulnerabilidad en aplicaciones que utilizan App Router con Cache Components. Cuando una función use cache devuelve varios vectores tipados, un atacante remoto no autenticado podría ejecutar código en el servidor. Actualmente no tiene asignado un identificador CVE.
- CVE-2026-96889: vulnerabilidad de memoria en una librería utilizada por la API Image Optimization. El procesamiento de imágenes SVG especialmente manipuladas en sistemas Linux basados en glibc podría permitir la ejecución remota de código.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-96889 | Crítica | No | VERCEL |
Listado de referencias
