Parches de seguridad de octubre: Next 16.4.3 y Node 22.23.4
Dos fallos críticos de ejecución remota de código en una semana, uno en Next y otro en Node. Si tienes un proyecto desplegado, actualiza aunque no vayas a tocar nada más.
Octubre trajo dos fallos críticos seguidos en el stack del boilerplate, los dos de ejecución remota de código. Esta versión no añade nada: solo cierra esas dos puertas. Si tienes un proyecto en producción construido con CREA.MBA, es la actualización que no deberías dejar para luego.
Next 16.4.3
El 14 de octubre Next publicó parches para dos fallos de ejecución remota: uno en use cache y otro
en el procesado de imágenes SVG con sharp. next, eslint-config-next y @next/third-parties
pasan a 16.4.3, y ahora van fijados a esa versión exacta en vez de con ^: así un parche de
seguridad llega cuando tú decides actualizar, no por sorpresa en el siguiente build.
Node 22.23.4 en el despliegue
El 21 de octubre se publicó Node2Shell (CVE-2026-111497), un fallo de ejecución remota en el decodificador Brotli de Node, con exploit público al día siguiente.
Aquí hay una trampa que no se ve en el repo: Coolify construye con nixpacks, y nixpacks monta por
defecto un Node de hace un año (22.19.0), aunque tu package.json pida otra cosa. Solo se nota
mirando el log del build. El boilerplate trae ahora un nixpacks.toml en la raíz que fija un
nixpkgs con Node 22.23.4. Para subir de versión en el futuro basta con cambiar el commit de
nixpkgsArchive, como explica la guía de despliegue.
Si actualizas desde la 2.x
- Sube
next,eslint-config-nexty@next/third-partiesa16.4.3, y correbun installybun run builden local antes de desplegar. - Copia el
nixpacks.tomlde la raíz a tu proyecto si despliegas con Coolify o nixpacks. Si usas un Dockerfile propio, parte de una imagennode:22.23.4o posterior. - Tras desplegar, busca
nodejs-22.23.4en el log del build para confirmar que ha cogido el Node bueno.
No hace falta tocar código: la migración a cacheComponents que exige Next 16.4 ya venía hecha
desde la 2.0.