CVE-2026-94482 Denegación de servicio en App Router de Next.js con Server Actions

Qué es CVE-2026-94482

Desde 13.0.0 hasta 15.5.28 y 16.4.1, peticiones manipuladas dirigidas a aplicaciones App Router con al menos una Server Action pueden causar consumo excesivo de CPU y bloquear el procesamiento de otras peticiones en el mismo proceso. Las aplicaciones que usan Pages Router y las aplicaciones App Router sin Server Actions no se ven afectadas. Se corrige en las versiones 15.5.28 y 16.4.1.

Productos y versiones afectadas

• vercel next.js

  • >= 13.0.0, < 15.5.28
  • >= 16.0.0, < 16.4.1

Qué hacer

1. Verificá si usás next.js y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.2 ALTA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Next.js is a React framework for building full-stack web applications. From 13.0.0 until 15.5.28 and 16.4.1, crafted requests targeting App Router applications with at least one Server Action can cause excessive CPU consumption and block processing of further requests in the same process. Applications using the Pages Router and App Router applications without Server Actions are not affected. This issue is fixed in versions 15.5.28 and 16.4.1.

Referencias

• github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5rX_REFSOURCE_CONFIRM
• github.com/vercel/next.js/releases/tag/v15.5.28X_REFSOURCE_MISC
• github.com/vercel/next.js/releases/tag/v16.4.1X_REFSOURCE_MISC

Historial de la alerta

1. 22 OCT · 15:01VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.