Vercel lanzó parches críticos para Next.js que corrigen dos vulnerabilidades de ejecución remota de código: una afecta a servidores Windows mediante saltos de ruta y otra ocurre al procesar archivos de imagen AVIF maliciosos. Se recomienda actualizar inmediatamente a las versiones 15.5.24 o 16.3.3, aunque las aplicaciones alojadas en Vercel ya están protegidas. Las versiones afectadas abarcan desde la 10.0.0 hasta la 16.3.2, dependiendo del fallo específico.







Vercel ha lanzado parches de seguridad para dos vulnerabilidades de severidad crítica en el framework web Next.js, las cuales permiten la ejecución remota de código (RCE) sin autenticación. Una de ellas es explotable mediante archivos de imagen AVIF especialmente diseñados y la otra a través de un fallo de salto de ruta (path traversal) que afecta a los servidores que utilizan un sistema de archivos Windows.

El salto de ruta en Windows, rastreado como CVE-2026-75604 (puntuación CVSS: 9.0), afecta a las aplicaciones de Next.js que utilizan tanto el Pages Router como el App Router sin Componentes de Caché cuando el servidor usa un sistema de archivos Windows.

Las implementaciones en Linux y macOS no están afectadas.

"No existe una solución alternativa conocida para las aplicaciones alojadas en Windows afectadas. Debes actualizar inmediatamente si tu servidor está alojado en Windows", afirmó Vercel en su aviso.

Las correcciones están disponibles en Next.js 15.5.24 (Mantenimiento LTS) y 16.3.3 (Activo LTS), publicadas el 25 de agosto de 2026. Si eres un usuario afectado, puedes actualizar ejecutando npm install next@15.5.24 para la línea 15.5 o npm install next@16.3.3 para la línea 16.3.

Las aplicaciones alojadas en Vercel están protegidas contra ambas vulnerabilidades y no requieren actualización, según indicó Vercel en una entrada de su registro de cambios publicada el 25 de agosto.

La vulnerabilidad afecta a las versiones de Next.js desde la 13.4 hasta la 15.5.23 y las versiones 16.0 hasta la 16.3.2.

El mecanismo de ataque no fue revelado en el aviso. El registro de cambios de Vercel también acreditó a los investigadores evolutionstorm y B0RI por la divulgación responsable de la vulnerabilidad de Windows.

Fallo de optimización de imágenes avif

Next.js utiliza el paquete de procesamiento de imágenes sharp para optimizar imágenes, y sharp depende de la librería de C libheif para analizar archivos AVIF.

Un desbordamiento de búfer de montón (heap buffer overflow) crítico en libheif puede provocar la ejecución remota de código cuando Next.js procesa una imagen AVIF controlada por un atacante (GHSA-2xp9-vwfh-vxw4, CVSS v4: 9.5).

La vulnerabilidad subyacente, divulgada por los mantenedores de libheif como GHSA-g89c-p67h-r497, implica un desbordamiento de búfer de montón en el código de escalado de imágenes de la librería.

Todas las versiones de libheif hasta la v1.23.1 están afectadas. El aviso de AVIF cubre las versiones de Next.js desde la 10.0.0 hasta la 15.5.23 y todas las versiones 16.x hasta la 16.3.2.

Un archivo AVIF manipulado que contiene referencias anidadas de derivación de identidad y elementos auxiliares provoca que libheif construya una imagen decodificada con dos entradas de plano Alfa a diferentes profundidades de bits.

El escalador asigna un búfer de destino dimensionado para la primera entrada Alfa de 8 bits, pero luego escribe valores de muestra de 16 bits de la segunda entrada en ese mismo búfer, sobrescribiendo aproximadamente 16,384 bytes más allá del límite de asignación.

Los investigadores acreditados en el aviso, rootxharsh como Finder y KarimPwnz como Coordinador, publicaron una prueba de concepto completa en Python junto con la divulgación de libheif que reproduce la corrupción del montón bajo una compilación con sanitizador de direcciones.

El aviso de libheif acreditó a rootxharsh y KarimPwnz, pero el registro de cambios de Vercel atribuyó la divulgación al equipo de Hacktron.

"Fuimos capaces de obtener RCE usando esto en múltiples aplicaciones", dijeron los investigadores en el aviso de libheif.

La prueba de concepto demuestra la escritura fuera de límites, y la afirmación de los investigadores sobre la ejecución remota de código en múltiples aplicaciones no ha sido corroborada independientemente.

Next.js habilita la optimización AVIF solo cuando un sitio añade explícitamente image/avif a la configuración de formatos en next.config.js. Las implementaciones sin esa configuración no están expuestas a este fallo.

Las versiones parcheadas de Next.js desactivan la optimización AVIF por completo hasta que la corrección de upstream se propague desde libheif. Se confirmó el 27 de agosto de 2026, a través de la página de versiones de libheif en GitHub, que la v1.23.2 no había sido publicada.

Vercel había programado los parches de agosto para el 26 de agosto como parte de su cadencia mensual de seguridad, pero adelantó el lanzamiento un día tras descubrir una vulnerabilidad adicional de severidad crítica en una de sus dependencias upstream.

"Hoy temprano, adelantamos el lanzamiento tras identificar una vulnerabilidad adicional de severidad crítica en una de nuestras dependencias upstream", dijeron Josh Story, Karim Rahal y Sebastian Silbermann en el post del blog de seguridad de Vercel.

El lanzamiento de agosto es el segundo bajo el programa formal de seguridad mensual de Vercel, que la empresa anunció en julio de 2026.

"El volumen de investigación de vulnerabilidades en toda la industria está aumentando rápidamente, impulsado por el descubrimiento asistido por LLM", dijeron Andrew Imm y Josh Story en el anuncio del programa del 13 de julio.

El primer lanzamiento programado publicado el 21 de julio abordó nueve vulnerabilidades en Next.js 16.2.11 y 15.5.21, cubriendo clases de denegación de servicio, falsificación de solicitudes del lado del servidor (SSRF) y saltos de middleware.

Si ya tienes los parches de julio, aun así necesitas la actualización de agosto.

Next.js ha tenido una racha de divulgaciones de seguridad críticas en los últimos dos años, incluyendo un fallo crítico de salto de middleware en marzo de 2025 que permitía a atacantes no autenticados saltarse las comprobaciones de autorización en implementaciones autoalojadas.

El fallo de deserialización React2Shell en React Server Components, divulgado en diciembre de 2025, tenía una puntuación CVSS de 10.0 y fue explotado activamente a las pocas horas de su divulgación pública.

Hasta el 27 de agosto de 2026, no se había informado de ninguna explotación de ninguna de las dos vulnerabilidades de agosto.

Fuente:
THN