Next.js corrige dos vulnerabilidades críticas que permiten ejecución remota de código sin autenticación

La empresa Vercel ha lanzado actualizaciones de seguridad para dos vulnerabilidades críticas en el framework web Next.js. Ambas permiten la ejecución remota de código (RCE) sin necesidad de autenticación, lo que representa un riesgo significativo para sistemas que utilicen esta herramienta. Estas vulnerabilidades afectan tanto a servidores que emplean el sistema de archivos Windows como a aquellos que procesan archivos en formato AVIF.

La noticia, publicada por The Hacker News, destaca la importancia de aplicar las correcciones de seguridad lo antes posible para evitar que atacantes aprovechen estas brechas. A continuación, se detalla la información técnica y los impactos potenciales de estas vulnerabilidades.

Vulnerabilidad en AVIF: un riesgo para la seguridad de imágenes

La primera vulnerabilidad, relacionada con el formato AVIF, permite que un atacante inyecte código malicioso en un archivo de este tipo. Los AVIF son un formato de imagen moderno que se ha vuelto popular por su eficiencia en el almacenamiento y transmisión de imágenes. Sin embargo, esta vulnerabilidad revela que ciertos archivos AVIF pueden ser explotados para ejecutar código remoto sin autenticación.

Esta vulnerabilidad afecta a los servidores que procesan archivos AVIF utilizando Next.js. Los atacantes pueden subir un archivo malicioso a través de un sitio web vulnerable, y al ser procesado por el framework, se ejecuta el código malicioso en el servidor. Este tipo de ataque puede llevar a la compromiso de sistemas, robo de datos o incluso el control total del servidor.

Vulnerabilidad de tránsito de ruta en Windows

La segunda vulnerabilidad, identificada como CVE-2026-75604, es una falla de tránsito de ruta (path traversal) que afecta a servidores que emplean el sistema de archivos Windows. El tránsito de ruta es un tipo de vulnerabilidad que permite a un atacante acceder a archivos o directorios fuera de la ruta esperada, aprovechando la forma en que algunos sistemas manejan las rutas de archivo.

En este caso, el atacante puede explotar esta vulnerabilidad para acceder a archivos sensibles o incluso modificar el contenido del servidor. Dado que el sistema de archivos Windows puede tener una estructura diferente a la de sistemas Unix, esta brecha se centra en la forma en que Next.js maneja las rutas en entornos Windows.

Impacto y recomendaciones de seguridad

Las implicaciones de estas vulnerabilidades son muy serias, especialmente en entornos de producción donde se procesan imágenes o se manejan archivos en sistemas Windows. Los atacantes pueden aprovechar estas brechas para instalar software malicioso, crear backdoors o incluso acceder a información confidencial.

Para mitigar estos riesgos, se recomienda lo siguiente:

• Actualizar Next.js a la última versión disponible, que incluye las correcciones de seguridad.
• Realizar un escaneo de seguridad de los servidores y aplicaciones que utilicen Next.js.
• Implementar controles de acceso y autenticación en los sistemas que procesan imágenes o archivos.
• Monitorear los registros de los servidores para detectar actividades sospechosas.

Contextualización técnica: ¿qué es el tránsito de ruta?

Definición y funcionamiento

El tránsito de ruta es una técnica utilizada en ataques de seguridad para acceder a archivos fuera del directorio esperado. Por ejemplo, si un sistema espera que un archivo se acceda desde /images/, un atacante puede usar una ruta como /images/../../etc/passwd para acceder a archivos en otros directorios, como el archivo passwd que contiene información de usuarios.

Ejemplo práctico

En el caso de la vulnerabilidad de tránsito de ruta en Windows, un atacante podría usar una ruta como ..\..\..\..\Windows\System32\cmd.exe para acceder a archivos de sistema. Esto es posible si el sistema no valida correctamente las rutas de acceso, permitiendo que los usuarios accedan a archivos fuera del ámbito esperado.

Este tipo de ataque se ha utilizado históricamente en sistemas web, por lo que la corrección de esta vulnerabilidad en Next.js es un paso importante para la seguridad de los servidores.

En resumen, las actualizaciones de seguridad publicadas por Vercel son un recordatorio de la importancia de mantener actualizados los sistemas de desarrollo y producción. La existencia de estas vulnerabilidades no solo afecta la seguridad de los servidores, sino también la confianza de los usuarios en los servicios que dependen de Next.js. Para obtener más detalles sobre estas correcciones, puedes consultar la fuente original.