Blog
Perspectivas sobre desarrollo de software, seguridad y tecnología de nuestro equipo.
Un fallo en las imágenes OG de Next.js puede ejecutar código en su servidor. Actualice a 16.3.6.
Vercel lanzó una actualización fuera de ciclo de Next.js el 22 de septiembre para corregir CVE-2026-94545, un fallo crítico de ejecución remota de código en `ImageResponse` de `next/og` para Node.js, con una puntuación CVSS de 9,5. Solo afecta a las aplicaciones que introducen valores controlados por el visitante en imágenes Open Graph dinámicas, pero eso describe la mayoría de las configuraciones de tarjetas de compartición. Aquí se explica quiénes están expuestos, por qué parchear únicamente el framework puede no ser suficiente, y qué comprobar hoy mismo.
Un prototipo contaminado puede secuestrar su tráfico de axios. Actualice a 1.18.0.
axios acaba de divulgar CVE-2026-67320, una vulnerabilidad de contaminación de prototipos en su adaptador HTTP de Node.js que puede redirigir las solicitudes salientes de su servidor a través de un proxy controlado por un atacante y filtrar credenciales por HTTP en texto plano. Es un recordatorio contundente de que una dependencia que apenas configura sigue siendo superficie de ataque. Esto es lo que debe parchear, y lo que debe cambiar más allá del parche.
Node.js abandona el modelo par-impar. Cómo planificar sus actualizaciones ahora.
Node.js retira el modelo de versiones par-impar en el que los equipos de backend han confiado durante una década. A partir de la versión 27, hay un major al año, cada lanzamiento se convierte en LTS, y un nuevo canal Alpha de seis meses abre este octubre. Esto es lo que cambia si ejecuta Node en producción, y el único trabajo de CI que debe añadir ahora.