Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Datos externos atraviesan el límite de ImageResponse en Next.js.

Qué se ha confirmado

INCIBE califica como crítica una vulnerabilidad de Next.js que podría permitir ejecución remota de código en el servidor al procesar contenido manipulado mediante ImageResponse.

El aviso delimita las versiones afectadas desde Next.js 16.2.0 hasta antes de 16.3.6, siempre que se use ImageResponse para Node.js con valores controlados por un atacante en contenido, atributos o estilos SVG.

Según INCIBE, las aplicaciones que usan ImageResponse para Edge o no introducen valores controlados por un atacante en el SVG no están afectadas.

INCIBE relaciona el fallo de next/og ImageResponse para Node.js con una dependencia que no neutraliza correctamente determinados valores antes de generar SVG.

El organismo recomienda actualizar a Next.js 16.3.6 o posterior; de forma temporal, evitar datos controlados por usuarios o atacantes en las partes SVG citadas.

El aviso indica que el identificador CVE está pendiente de asignar y no registra explotación confirmada.

Análisis de Defensops

La gravedad potencial no equivale a exposición universal de los proyectos Next.js. Para priorizar, hay que cruzar versión, entorno de ejecución de ImageResponse y procedencia de los datos que terminan en el SVG. Una aplicación en una versión incluida puede quedar fuera del escenario descrito si no cumple esas condiciones; una revisión basada solo en el inventario de paquetes produciría demasiados falsos positivos.

El límite de confianza se sitúa antes de la generación de la imagen: contenido, atributos y estilos no deben aceptar valores externos sin una garantía verificable sobre su origen y tratamiento. La actualización elimina la dependencia de una mitigación manual difícil de sostener en todos los puntos de entrada. El aviso no describe ataques observados, de modo que la respuesta inicial debe centrarse en comprobar exposición y corregirla, sin presentar un compromiso como hecho.

Prioridades de revisión

Con urgencia, localizar las aplicaciones que ejecutan Next.js desde 16.2.0 hasta antes de 16.3.6 y enumerar sus usos de next/og ImageResponse en Node.js.

Trazar en esos usos si parámetros, contenido o estilos SVG pueden incorporar datos controlados por usuarios o atacantes; registrar la ruta de entrada y el componente responsable.

Actualizar las aplicaciones expuestas a Next.js 16.3.6 o posterior y comprobar en el despliegue la versión efectiva, no solo la declarada en el repositorio.

Si el despliegue de la actualización se demora, retirar temporalmente los valores externos del contenido, atributos y estilos SVG procesados por ImageResponse para Node.js; verificar el resultado con una prueba funcional.

Revisar las actualizaciones del aviso para incorporar el identificador CVE cuando se asigne y cualquier dato nuevo sobre explotación.

Qué no se ha confirmado

El identificador CVE todavía no consta en el aviso.

INCIBE no aporta evidencia de explotación activa ni cifras de aplicaciones afectadas.

El aviso no enumera qué valores concretos de la dependencia permiten atravesar la neutralización.

Fuente

INCIBE-CERT. Fecha indicada: 2026-10-01.