Reporte Next.js Vulnerabilidad CVE-2025-66478

Incident Report for Status DonWeb

Resolved

Finalizamos el aviso.

Pero es importante resaltar que la incidencia de seguridad continua vigente y es importante tomar los recaudos comentados



Agradecemos tu atencion!.

Posted Dec 15, 2025 - 15:04 GMT-03:00

Update

Evaluando los casos te proponemos el siguiente plan de acción y recomendaciones para mitigar la vulnerabilidad en cada desarrollo:

- Cambiar credenciales y tokens, ya que sus datos pudieron ser filtrados.
- Si se está ejecutando NextJS sin docker y con acceso root, se debe recrear el servidor ya que el mismo pudo ser vulnerado y no puede garantizarse su integridad.
- En el caso de NextJS sin acceso root, es posible que con solo parchear las instancias de docker y cambiar credenciales y tokens, sea suficiente.
- Actualizar inmediatamente antes, de realizar un nuevo deploy, los paquetes vulnerables. Recomendamos revisar esta herramienta que puede ser de utilidad: https://github.com/vercel-labs/fix-react2shell-next
Posted Dec 09, 2025 - 15:09 GMT-03:00

Monitoring

Se ha reportado una vulnerabilidad crítica (CVSS 10.0) en el protocolo React Server Components (RSC), identificada como CVE-2025-55182, que permite la ejecución remota de código en entornos sin parches.

Este aviso incluye también el impacto sobre aplicaciones Next.js que utilizan App Router, rastreado como CVE-2025-66478.

Versiones afectadas de Next.js:
- Next.js 15.x
- Next.js 16.x
- Next.js 14.3.0-canary.77 y posteriores (canary)

Versiones NO afectadas:
- Next.js 13.x
- Next.js 14.x (estables)
- Aplicaciones con Pages Router
- Edge Runtime

Versiones parcheadas (solucionan completamente la vulnerabilidad):
15.0.5
15.1.9
15.2.6
15.3.6
15.4.8
15.5.7
15.6.0-canary.58
16.0.7

Se trata de un incidente externo, originado en la implementación de React.
Más información oficial:
https://nextjs.org/blog/CVE-2025-66478

Estamos siguiendo de cerca la situación y recomendamos a los desarrolladores actualizar a las versiones corregidas cuanto antes para mitigar el riesgo.
Posted Dec 05, 2025 - 13:19 GMT-03:00