Si tienes una aplicación con Next.js, un framework, es decir, un conjunto de herramientas para construir sitios con React, hoy te toca actualizar. El equipo del proyecto publicó parches para siete fallas de seguridad.
La mayoría gira en torno a la caché, la memoria donde se guardan respuestas para no calcularlas cada vez. Si esa memoria se confunde, un usuario podría ver lo que le tocaba a otro.
¿Qué pasó?
El 3 de noviembre de 2026, Next.js publicó las versiones 16.4.5 y 15.5.29, tal como había anunciado la semana anterior. Netlify, que aloja sitios hechos con este framework, confirmó esos mismos números en su propio aviso y también recomienda actualizar.
Cuatro de las siete fallas tienen que ver con la caché. Dos afectan a aplicaciones que usan Cache Components y separan a sus clientes con parámetros de ruta, de modo que los datos de un cliente podían servirse a otro. Una tercera aparece cuando se pasan datos binarios a una función con use cache: un usuario podía recibir un resultado ajeno o dejar el suyo para los demás. La cuarta permite contaminar una página compartida en aplicaciones alojadas por cuenta propia.
Las otras tres son distintas. Una, en aplicaciones propias detrás de ciertos proxies, puede mezclar respuestas entre clientes. Otra deja leer cookies marcadas como HttpOnly, las que se supone que JavaScript no puede ver, a través de un encabezado interno en rutas Edge. La última permite saltarse el bloqueo de imágenes SVG en el optimizador de imágenes.
¿Por qué te importa?
No todas las aplicaciones están expuestas, porque cada falla pide condiciones concretas. Por ejemplo, la de las cookies necesita que un atacante ya pueda correr JavaScript en tu mismo dominio, y la de los proxies depende de cómo esté configurado ese proxy. Next.js también aclara que la del SVG no demuestra por sí sola un ataque de código.
Aun así, si tu aplicación atiende a varios clientes o cuentas con el mismo código, un error de caché puede terminar en una fuga de datos de otra persona. Revisar si cumples cada condición lleva más tiempo que actualizar, así que lo práctico es instalar el parche.
También importa dónde alojas tu sitio. Netlify indica que varias fallas sí afectan a sitios en su plataforma, mientras que otras no aplican ahí.
¿Qué puedes hacer?
- Actualiza con
npm install next@16.4.5, o connpm install next@15.5.29si sigues en la rama 15, y vuelve a desplegar tu aplicación. - Si alojas en Netlify y fijaste a mano su adaptador, sube
@netlify/plugin-nextjsa la versión 5.16.6. Sin eso, actualizar Next.js no corrige el caso de las cookies en Middleware. - Limpia la caché en cada entorno. En Netlify, producción, ramas y vistas previas se manejan por separado.
- Borra las vistas previas públicas que ya no uses, porque Netlify avisa que pueden seguir vulnerables hasta que se eliminen.
- Si usas Cache Components, revisa qué datos dependen de parámetros de ruta y prueba con dos cuentas distintas que cada quien vea solo lo suyo.
Sigue leyendo
- Next.js 16.4.1 corrige dos fallas críticas: actualiza tu app
- Next.js 16.4 recomienda Cache Components para todas las apps
Fuentes
Imagen de portada: foto de Brett Sayles en Pexels.