El aviso de seguridad HCSEC-2026-01 reveló una vulnerabilidad crítica en la biblioteca next-mdx-remote que permite a los atacantes ejecutar código arbitrario en servidores que renderizan contenido MDX no confiable. Registrada como CVE-2026-0969, la falla afecta a las versiones 4.3.0 hasta la 5.0.0 y se soluciona en la versión 6.0.0. Next-mdx-remote es una popular biblioteca de código abierto en TypeScript para aplicaciones React basadas en Next.js.

El aviso de seguridad HCSEC-2026-01 reveló una vulnerabilidad crítica en la biblioteca next-mdx-remote que permite a los atacantes ejecutar código arbitrario en servidores que renderizan contenido MDX no confiable.

Registrada como CVE-2026-0969, la falla afecta a las versiones 4.3.0 hasta 5.0.0 y está solucionada en la 6.0.0. Next-mdx-remote es una biblioteca popular de código abierto en TypeScript para aplicaciones React basadas en Next.js.

Permite a los desarrolladores extraer MDX (Markdown con JSX) desde bases de datos, APIs o entrada de usuarios y renderizarlo dinámicamente en el servidor o cliente.

Cómo funciona el ataque

MDX combina la simplicidad de Markdown con componentes React, lo que lo hace ideal para blogs, documentación y contenido generado por usuarios.

El problema radica en las funciones serialize y compileMDX de la biblioteca. Estas carecían de una sanitización adecuada para expresiones JavaScript en MDX no confiable.

Los atacantes podían colar código malicioso como eval(), Function() o require() oculto entre llaves {}. Cuando el servidor lo procesaba durante el renderizado del lado del servidor (SSR), ejecutaba el código con todos los privilegios del servidor.

Esto conduce a la ejecución remota de código (RCE), lo que podría permitir a los hackers robar datos, instalar malware o tomar el control del servidor.

Por ejemplo, un atacante envía MDX como: {require('child_process').execSync('rm -rf /')}. Si las expresiones JavaScript están habilitadas (por defecto), el servidor las ejecuta sin verificar.

La versión 6.0.0 introduce cambios importantes: las expresiones JavaScript ahora están bloqueadas por defecto (blockJS: true).

Cuando están habilitadas (blockJS: false), una nueva opción blockDangerousJS: true (activada por defecto) filtra globales riesgosas como process, eval y require.

Actualiza a next-mdx-remote 6.0.0 de inmediato si manejas MDX no confiable en servidores. Revisa tu código en busca de llamadas a compileMDX o serialize.

Nunca renderices MDX proporcionado por usuarios sin sanitización. Usa bibliotecas como remark-rehype para mayor seguridad. Prueba en un entorno de staging para detectar posibles fallos debido a los nuevos valores por defecto.