next-security-check

Comprueba un proyecto Next.js frente a los avisos de seguridad de Next.js del 14 de octubre de 2026 con un solo comando, sin dependencias:

• CVE-2026-96889 (GHSA-2464-fhr4-w9xw): ejecución remota de código en la API de optimización de imágenes con SVG, a través de sharp (crítica)
• GHSA-673q-mjm6-r5xr: ejecución remota de código en funciones use cache que devuelven arrays tipados (crítica, Next.js 16)
• GHSA-p3m5-59mp-jv5r: denegación de servicio en Server Actions (alta)
• GHSA-xqc2-xf4c-x3h3: paquetes de React Server Components, si están instalados directamente (crítica)

Lee las versiones realmente instaladas en node_modules (disposiciones de npm, pnpm o yarn, incluidas las copias anidadas), no los rangos de package.json, y analiza tu código fuente en busca de "use cache", "use server" y next/image.

Análisis completo: Actualización de seguridad de Next.js, octubre de 2026

Uso

Requiere Node.js 18 o posterior. Ejecútalo en la raíz del proyecto después de instalar los paquetes:

curl -O https://raw.githubusercontent.com/AmanSin001/next-security-check/main/next-security-check.mjs
node next-security-check.mjs            # current folder
node next-security-check.mjs ./my-app   # or a path
echo $?                                 # 0 = nothing to do, 1 = action needed

Ejemplo de salida

Una instalación real de Next.js 16.3.0 con Server Actions y next/image:

Next.js security check (October 14, 2026 advisories)
next:     16.3.0
sharp:    0.35.3
features: App Router yes, "use cache" no, Server Actions yes, next/image yes

FIX  CVE-2026-96889       Image Optimization RCE with SVG (critical)
      your app uses next/image. sharp 0.35.3 installed; needs 0.35.5+.
      Fix: next 16.4.1, or sharp 0.35.5+ for every copy
FIX  GHSA-673q-mjm6-r5xr  use cache RCE (critical, Next.js 16)
      no "use cache" found; Vercel still says upgrade
      Fix: next 16.4.1
FIX  GHSA-p3m5-59mp-jv5r  Server Actions denial of service (high)
      your code has "use server"
      Fix: next 16.4.1
ok   GHSA-xqc2-xf4c-x3h3  React Server Components packages (critical)
      not installed directly (Next.js bundles its own)

Action needed: upgrade, reinstall, rebuild and redeploy.

La trampa de sharp en Next.js 15

Next.js 15.5.28 todavía acepta sharp ^0.34.3, y la línea 0.34 no tiene ninguna versión corregida. Si sharp está en tu propio package.json o fijado en tu lockfile, actualizar Next.js lo deja en su sitio. El comprobador lo señala y sugiere npm install sharp@^0.35.5.

Versiones corregidas

Línea	Versión corregida
Next.js 16	16.4.1
Next.js 15	15.5.28
sharp	0.35.5 o posterior
react-server-dom-*	19.0.9, 19.1.10, 19.2.9, 19.3.1

Pruebas

node --test next-security-check.test.mjs

Ocho casos, incluida la disposición .pnpm de pnpm, los enlaces simbólicos, la trampa de sharp en 15.x y las aplicaciones con Pages Router.

Limitaciones

• El análisis del código fuente examina app, src, pages, components y lib. El código generado en tiempo de compilación o que reside en otro paquete no se detecta. En caso de duda, actualiza.
• Solo informa sobre los paquetes instalados. Recompila y vuelve a desplegar después de actualizar; un servidor en ejecución conserva el código antiguo.

Licencia

MIT. ¿Necesitas que te lo parcheen? CodeWares.