Next.js ha lanzado actualizaciones de seguridad para corregir dos vulnerabilidades críticas que permitirían a atacantes remotos ejecutar código malicioso sin necesidad de iniciar sesión. Además, se ha solucionado un tercer fallo de severidad alta que podría causar la denegación de servicio en las aplicaciones afectadas. Estos problemas, relacionados con funciones almacenadas en caché, procesamiento de imágenes SVG y Server Actions, han sido solventados en las versiones Next.js 16.4.1 y 15.5.28.

Se ha detectado una vulnerabilidad de denegación de servicio (DoS) de severidad alta (CVE-2026-23870) en React Server Components. Este fallo permite que un atacante remoto pueda congelar servidores de Next.js mediante el envío de una solicitud POST especialmente diseñada a un endpoint de función de servidor. El problema, que tiene una puntuación CVSS de 7.5, afecta a las aplicaciones que utilizan React 19.x.

Se ha detectado una vulnerabilidad crítica en Next.js (CVE-2026-94545) que afecta a la implementación de ImageResponse en el paquete next/og. Este fallo podría permitir la ejecución remota de código (RCE) mediante el uso de archivos SVG maliciosos durante la generación de imágenes. El problema afecta a las versiones desde la 16.2.0 hasta las anteriores a la 16.3.6, por lo que se recomienda encarecidamente a los desarrolladores actualizar a la versión 16.3.6 para solucionar este riesgo de seguridad.

Vercel corrigió una vulnerabilidad crítica en Next.js (versiones 16.2.0 a 16.3.5) que permitía ejecutar código en el servidor a través de ImageResponse. El fallo ocurre cuando se insertan valores controlados por el usuario en el contenido SVG de imágenes sociales. Se recomienda actualizar inmediatamente a la versión 16.3.6 para solucionar este riesgo.

Vercel lanzó parches críticos para Next.js que corrigen dos vulnerabilidades de ejecución remota de código: una afecta a servidores Windows mediante saltos de ruta y otra ocurre al procesar archivos de imagen AVIF maliciosos. Se recomienda actualizar inmediatamente a las versiones 15.5.24 o 16.3.3, aunque las aplicaciones alojadas en Vercel ya están protegidas. Las versiones afectadas abarcan desde la 10.0.0 hasta la 16.3.2, dependiendo del fallo específico.

Se han descubierto dos fallos críticos en Next.js que permiten la ejecución remota de código (RCE) sin autenticación. Estas vulnerabilidades afectan específicamente a aplicaciones alojadas en Windows que utilizan la API de Optimización de Imágenes para procesar imágenes en formato AVIF. El primer fallo, identificado como CVE-2026-75604, impacta a aplicaciones que usan el Pages Router o el App Router sin Componentes de Caché.

Vercel ha corregido nueve vulnerabilidades de seguridad en Next.js. Estos fallos permitían ataques de falsificación de solicitudes del lado del servidor (SSRF), la omisión de autenticación en el middleware, ataques de denegación de servicio (DoS) y la exposición de datos sensibles. Las correcciones ya están disponibles en las versiones 15.5.21 y posteriores.

Se ha detectado una vulnerabilidad de alta gravedad en Next.js que afecta a aplicaciones web autoalojadas. Los atacantes pueden explotar un fallo de Server-Side Request Forgery (SSRF) para robar silenciosamente credenciales de la nube, claves API y acceder a paneles de administración internos. Se recomienda a las organizaciones parchear sus entornos de inmediato para evitar intrusiones en sus redes internas.

Una masiva campaña automatizada de robo de credenciales está atacando activamente aplicaciones web en todo el mundo. Investigadores de ciberseguridad de Cisco Talos han descubierto una operación llevada a cabo por un grupo de hackers identificado como UAT-10608, que ya ha comprometido más de 700 servidores. Los atacantes están explotando una grave falla de seguridad conocida como React2Shell para acceder y robar datos altamente sensibles.

Una campaña de ataque coordinada está dirigiendo activamente sus esfuerzos hacia desarrolladores de software mediante repositorios maliciosos disfrazados de proyectos legítimos de Next.js y materiales de evaluación técnica. Los atacantes utilizan señuelos con temática laboral, presentando desafíos de reclutamiento falsos que convencen a los desarrolladores de clonar y ejecutar código envenenado en sus propias máquinas. Una vez que un desarrollador ejecuta el proyecto, este se conecta silenciosamente a servidores controlados por los atacantes.

El aviso de seguridad HCSEC-2026-01 reveló una vulnerabilidad crítica en la biblioteca next-mdx-remote que permite a los atacantes ejecutar código arbitrario en servidores que renderizan contenido MDX no confiable. Registrada como CVE-2026-0969, la falla afecta a las versiones 4.3.0 hasta la 5.0.0 y se soluciona en la versión 6.0.0. Next-mdx-remote es una popular biblioteca de código abierto en TypeScript para aplicaciones React basadas en Next.js.

Se han descubierto vulnerabilidades críticas de ejecución remota de código (CVE-2025-55182 y CVE-2025-66478) en React Server Components (RSC) y Next.js. Afecta a las versiones 19.0-19.2.0 de React y a Next.js ≥ 14.3.0-canary.77, ≥15 y ≥16. Se recomienda actualizar a las versiones parcheadas (React 19.0.1, 19.1.2, 19.2.1 y Next.js 16.0.7, 15.5.7, etc.) lo antes posible.

Se ha revelado una falla de seguridad crítica en el framework React de Next.js que podría explotarse para eludir las comprobaciones de autorización en determinadas circunstancias.