Se ha detectado una vulnerabilidad crítica en Next.js (CVE-2026-94545) que afecta a la implementación de ImageResponse en el paquete next/og. Este fallo podría permitir la ejecución remota de código (RCE) mediante el uso de archivos SVG maliciosos durante la generación de imágenes. El problema afecta a las versiones desde la 16.2.0 hasta las anteriores a la 16.3.6, por lo que se recomienda encarecidamente a los desarrolladores actualizar a la versión 16.3.6 para solucionar este riesgo de seguridad.

Vercel corrigió una vulnerabilidad crítica en Next.js (versiones 16.2.0 a 16.3.5) que permitía ejecutar código en el servidor a través de ImageResponse. El fallo ocurre cuando se insertan valores controlados por el usuario en el contenido SVG de imágenes sociales. Se recomienda actualizar inmediatamente a la versión 16.3.6 para solucionar este riesgo.

Una masiva campaña automatizada de robo de credenciales está atacando activamente aplicaciones web en todo el mundo. Investigadores de ciberseguridad de Cisco Talos han descubierto una operación llevada a cabo por un grupo de hackers identificado como UAT-10608, que ya ha comprometido más de 700 servidores. Los atacantes están explotando una grave falla de seguridad conocida como React2Shell para acceder y robar datos altamente sensibles.

Una campaña de ataque coordinada está dirigiendo activamente sus esfuerzos hacia desarrolladores de software mediante repositorios maliciosos disfrazados de proyectos legítimos de Next.js y materiales de evaluación técnica. Los atacantes utilizan señuelos con temática laboral, presentando desafíos de reclutamiento falsos que convencen a los desarrolladores de clonar y ejecutar código envenenado en sus propias máquinas. Una vez que un desarrollador ejecuta el proyecto, este se conecta silenciosamente a servidores controlados por los atacantes.

El aviso de seguridad HCSEC-2026-01 reveló una vulnerabilidad crítica en la biblioteca next-mdx-remote que permite a los atacantes ejecutar código arbitrario en servidores que renderizan contenido MDX no confiable. Registrada como CVE-2026-0969, la falla afecta a las versiones 4.3.0 hasta la 5.0.0 y se soluciona en la versión 6.0.0. Next-mdx-remote es una popular biblioteca de código abierto en TypeScript para aplicaciones React basadas en Next.js.

Se ha revelado una falla de seguridad crítica en el framework React de Next.js que podría explotarse para eludir las comprobaciones de autorización en determinadas circunstancias.