2026-08-22
¿Next.js y React tienen muchas vulnerabilidades? Lo que muestran realmente los datos de CVE
Los datos dicen que el núcleo de React casi no tiene CVE, mientras que los de Next.js son numerosos y van en aumento. Lo que importa es dónde aparecen: en el middleware, la caché, la optimización de imágenes y las Server Actions, con SSRF, deserialización y elusión de la autorización a la cabeza de los CWE. La conclusión de este sitio: Next.js no debe tratarse solo como un framework de front-end. Funciona como un servidor, así que defiéndelo como tal: vuelve a autorizar junto a los datos, usa una lista de permitidos para las peticiones salientes y pon los puntos de acceso de las Server Actions detrás de autenticación.