Next.js corrige dos vulnerabilidades críticas que permiten ejecutar código remoto sin autenticación

El framework de desarrollo web Next.js, utilizado ampliamente en la creación de aplicaciones web estáticas y dinámicas, ha lanzado actualizaciones de seguridad para corregir dos vulnerabilidades críticas. Estas brechas permiten la ejecución remota de código (RCE) sin necesidad de autenticación, lo que representa un riesgo significativo para los sistemas que los emplean. Las vulnerabilidades afectan tanto a la forma en que se procesan imágenes AVIF como a la configuración de servidores que utilizan sistemas de archivos Windows.

La empresa Vercel, que desarrolla Next.js, ha identificado y resuelto estas vulnerabilidades, que fueron reportadas y validadas por el equipo de Hacktron. Ambas permiten a un atacante ejecutar código en el servidor de forma remota, lo cual puede llevar a una completa compromiso del sistema. A continuación se detalla el impacto y las medidas recomendadas para mitigar estos riesgos.

Vulnerabilidad en la procesación de imágenes AVIF

La primera vulnerabilidad afecta a la forma en que Next.js maneja archivos de imagen en formato AVIF. Esta extensión de imagen, popular por su alta calidad y reducido tamaño, se ha convertido en una opción común para el desarrollo web. Sin embargo, en este caso, se ha encontrado una forma de explotarla para ejecutar código remoto sin autenticación.

El problema surge cuando un archivo AVIF se procesa incorrectamente, lo que permite a un atacante insertar código malicioso dentro de la imagen. Al cargarse en el servidor, este código se ejecuta con los privilegios del proceso, lo que puede dar lugar a una completa toma de control. Esta vulnerabilidad se encuentra etiquetada como CVE-2026-75604, y su resolución ha sido incluida en las últimas actualizaciones de Next.js.

Vulnerabilidad en el sistema de archivos Windows

La segunda vulnerabilidad afecta a los servidores que utilizan sistemas de archivos Windows en entornos de producción. Se trata de una brecha de tránsito de ruta (path traversal), que permite a un atacante acceder a archivos fuera del directorio esperado, exponiendo información sensible o incluso permitiendo la ejecución de comandos en el servidor.

Esta vulnerabilidad se encuentra relacionada con cómo Next.js maneja la estructura de directorios en sistemas Windows, lo que podría permitir a un atacante navegar por el sistema de archivos y acceder a recursos no autorizados. La corrección de esta brecha está incluida en las actualizaciones recientes del framework, asegurando que se evite el acceso no autorizado.

Impacto y recomendaciones para usuarios

Las implicaciones de estas vulnerabilidades son profundas, especialmente para los usuarios que emplean Next.js en entornos productivos. La posibilidad de ejecutar código remoto sin autenticación representa un riesgo de seguridad grave, ya que un atacante puede aprovecharse de estas brechas para realizar actividades maliciosas, como robo de datos, inyección de malware o incluso el control completo del servidor.

Se recomienda a todos los usuarios de Next.js actualizar a las versiones más recientes del framework, ya que las correcciones están disponibles en la versión 14.2.4 y posterior. Además, se sugiere realizar auditorías de seguridad periódicas, especialmente en sistemas que manejan archivos de imágenes o que emplean sistemas de archivos Windows.

Conclusión y contexto técnico

Las actualizaciones de seguridad de Next.js son un ejemplo de cómo la ciberseguridad en el desarrollo web requiere una constante vigilancia y respuesta ante las amenazas emergentes. Las vulnerabilidades descubiertas resaltan la importancia de implementar medidas de seguridad robustas, como la actualización de software, la configuración de permisos adecuados y la implementación de controles de acceso. En este caso, las correcciones permiten a los desarrolladores y administradores de sistemas mitigar riesgos que podrían afectar la estabilidad y seguridad de sus infraestructuras.

Para obtener más detalles sobre estas correcciones y las medidas tomadas, se puede consultar la fuente original: The Hacker News.