Next.js corrige siete fallos de seguridad en las versiones 16.4.5 y 15.5.29

Qué corrigió Next.js el 3 de noviembre

El 3 de noviembre de 2026, el equipo de Next.js publicó una versión de seguridad en el blog de Next.js, tras haberla anunciado la semana anterior. Corrige siete vulnerabilidades: una de gravedad alta y seis de gravedad media. Las correcciones están en la versión 16.4.5, la línea Active LTS (soporte a largo plazo), y en la 15.5.29, la línea Maintenance LTS. El equipo pide a todos los que usan Next.js que actualicen.

Cuatro de los problemas, incluido el de gravedad alta, afectan a la función de caché de Next.js, Cache Components, que almacena páginas y datos para reutilizarlos:

• en tres de ellos, el contenido preparado para un cliente (tenant), sitio, idioma o usuario podía servirse a otro;
• en el cuarto, en sitios autoalojados, una dirección web manipulada podía hacer que páginas compartidas mostraran contenido equivocado o devolvieran una y otra vez errores de «página no encontrada».

Los otros tres tienen que ver con una configuración concreta de proxy inverso en sitios autoalojados que podía enviar la respuesta de un visitante a otro; con rutas Edge en las que valores de cookies que debían quedar ocultos a los scripts podían leerse con JavaScript desde el mismo sitio; y con la optimización de imágenes, donde un archivo SVG camuflado podía saltarse un ajuste pensado para bloquear los SVG.

Qué sitios y aplicaciones están expuestos

Esto te afecta si tu sitio web, tienda online, portal de clientes o aplicación web está hecho con Next.js. El mayor riesgo lo corren los sistemas que atienden a varios clientes, marcas, sitios o idiomas desde una sola aplicación y usan Cache Components. En ese caso, una fuga podría mostrar los datos de un cliente a otro, lo que es un problema de confidencialidad y de protección de datos, además de técnico.

La mayoría de los problemas solo se dan en condiciones concretas: Cache Components activado, autoalojamiento en lugar de una plataforma gestionada, rutas Edge que fijan cookies de una manera determinada o un backend de imágenes capaz de decodificar archivos SVG. La fuente también acota el alcance de algunos. El problema de las cookies requiere que un script del atacante ya se esté ejecutando en tu sitio, y el de las imágenes no permite, por sí solo, que un atacante ejecute código.

Si tu software no usa Next.js, nada de esto te afecta.

Qué pedir ahora a tus desarrolladores

La fuente no fija ningún plazo, pero conviene aplicar cuanto antes correcciones de seguridad como estas. Pide a quien mantenga tu sitio o aplicación que:

• confirme si usa Next.js y qué versión;
• actualice a 16.4.5 o 15.5.29, según la línea en la que estés;
• si estás en una versión anterior, te explique cómo actualizar, ya que la publicación solo menciona estas dos líneas;
• compruebe si usas Cache Components, autoalojamiento, rutas Edge u optimización de imágenes, porque de eso depende la urgencia de la actualización;
• pruebe las páginas clave y los inicios de sesión después de actualizar, y vacíe el contenido en caché si hay alguna duda de que se haya servido a quien no debía.

Si nadie se ocupa de tu software, el servicio de soporte y mantenimiento continuos de Cognivise cubre actualizaciones como esta.