Etiqueta
#deserialization
GHSA-673q-mjm6-r5xr: RCE sin autenticación en funciones «use cache» de Next.js
GHSA-673q-mjm6-r5xr está calificado como crítico, CVSS v4.0 9.5, en GitHub Advisory Database: un atacante no autenticado puede ejecutar código en un servidor Next.js 16 que utilice App Router con Cache Components y tenga una función use cache que devuelva varios arrays tipados. La revisión de la base de datos clasifica el fallo como deserialización de datos no confiables (CWE-502) en el protocolo de transporte React Server Components incluido en Next.js. Corregido en Next.js 16.4.1, sin medidas provisionales disponibles.
23 de octubre de 2026