Next.js lanza parches de seguridad para vulnerabilidades de SSRF en imágenes y envenenamiento de caché

Vercel ha emitido actualizaciones de seguridad para Next.js con el fin de solucionar múltiples vulnerabilidades que afectan a la optimización de imágenes, el almacenamiento en caché y los servidores de desarrollo. Las correcciones se entregaron en las versiones 16.3.8 para Active LTS y 15.5.27 para Maintenance LTS, tras retrasos previos causados por actualizaciones de dependencias aguas arriba.

SSRF de alta gravedad en la optimización de imágenes

Una vulnerabilidad Server-Side Request Forgery de alta gravedad, rastreada como CVE-2026-94483, afecta a la optimización de imágenes en Next.js. Cuando hay listas de acceso remoto configuradas, una URL controlada por un atacante puede activar peticiones dirigidas a rangos de IP internas. Las aplicaciones que operan sin patrones remotos configurados no están expuestas a este fallo.

Envenenamiento de caché y filtración de contenido

Las actualizaciones abordan varias vulnerabilidades de caché de gravedad media en arquitecturas de generación estática y renderizado incremental. El fallo CVE-2026-94543 permite el reemplazo de entradas de caché en entornos Pages Router autoalojados que utilizan SSG o ISR, lo que provoca que se sirva contenido incorrecto hasta que se realiza una revalidación. Este problema no afecta a los despliegues alojados en Vercel. Asimismo, la vulnerabilidad CVE-2026-94484 permite que una solicitud no autenticada envenene las cachés de respuesta compartidas en aplicaciones que usan rutas catch-all a nivel raíz junto con características estáticas.

Los proyectos que utilizan la función experimental Cache Components también sufrieron filtraciones. Las funciones anidadas en caché podían omitir parámetros raíz en sus claves de caché, sirviendo contenido no coincidente entre distintas solicitudes. Adicionalmente, el fallo CVE-2026-94544 permitía que el contenido de vista previa no publicado de Draft Mode se filtrara en respuestas públicas en caché cuando coincidían solicitudes concurrentes mientras se llenaba la caché.

Bypass en rutas de metadatos y exposición del servidor de desarrollo

Otras correcciones resuelven problemas en las imágenes de metadatos de App Router construidas con webpack (CVE-2026-94485), donde se eludían los límites de segmentos dinámicos para generar rutas de imágenes excluidas; los despliegues compilados con Turbopack no se vieron afectados. Por último, la vulnerabilidad CVE-2026-94486 corrige un fallo de verificación de origen en el punto de enlace del Model Context Protocol del servidor de desarrollo, el cual permitía a sitios web de terceros maliciosos extraer rutas de archivos locales, inventarios de rutas y fragmentos de código durante las sesiones de desarrollo.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: September 2026 Security Release