--- title: "Next.js 16.4.5 y 15.5.29: siete fallos, toca actualizar" description: "Next.js publicó el 3 de noviembre de 2026 la 16.4.5 y la 15.5.29, con siete fallos de seguridad de severidad media. Qué hacer en Vercel, Netlify y servidor propio." canonical: "https://rigolco.com/noticias/nextjs-siete-vulnerabilidades-actualizar-16-4-5/" lang: "es" datePublished: "2026-11-04T00:00:00.000Z" dateModified: "2026-11-04T00:00:00.000Z" author: "Ton Rigol" --- URL: https://rigolco.com/noticias/nextjs-siete-vulnerabilidades-actualizar-16-4-5/ # Next.js corrige siete vulnerabilidades: si tu web usa Next.js, actualiza a 16.4.5 o 15.5.29 Next.js publicó el 3 de noviembre de 2026 la 16.4.5 y la 15.5.29, con siete fallos de seguridad de severidad media. Qué hacer en Vercel, Netlify y servidor propio. ![Ton Rigol](https://rigolco.com/assets-blog/autor-ton-96.webp) [Ton Rigol](https://rigolco.com/sobre/) 4 de noviembre de 2026 · 5 min de lectura - 3 fuentes citadas El 3 de noviembre de 2026 Next.js publicó las versiones 16.4.5 (Active LTS) y 15.5.29 (Maintenance LTS), que corrigen siete vulnerabilidades, todas de severidad media según sus [avisos de seguridad en GitHub](https://github.com/vercel/next.js/security/advisories). Afectan a datos en caché que se cruzan entre usuarios, a cookies HttpOnly expuestas, al envenenamiento de caché y a respuestas inyectadas entre clientes, según el [changelog de Netlify](https://www.netlify.com/changelog/2026-11-03-nextjs-security-vulnerabilities/) del mismo día. Si tu web está hecha con Next.js, toca actualizar y volver a desplegar. «Updates are now available in v16.4.5 (Active LTS) and v15.5.29 (Maintenance LTS) to address these issues. Please patch your Next.js dependencies to maintain the security of your applications.» (ya hay actualizaciones disponibles en la v16.4.5 y la v15.5.29 que resuelven estos problemas; actualiza tus dependencias de Next.js para mantener la seguridad de tus aplicaciones), dice el [blog de Next.js](https://nextjs.org/blog/november-2026-security-release) del 3 de noviembre de 2026\. Es la tanda de seguridad que Next.js había [anunciado el 27 de octubre de 2026](https://nextjs.org/blog/upcoming-nextjs-security-release-november-2026). ## ¿Qué corrigen Next.js 16.4.5 y 15.5.29? Corrigen siete fallos de severidad media, ninguno de ejecución remota de código, según los avisos de Next.js en GitHub del 3 de noviembre de 2026: - **Cuatro fallos en la caché de `use cache` y Cache Components**, solo en la rama 16: contenido de un usuario, un cliente o un idioma que se sirve a otro, o una página 404 guardada en caché para toda una familia de rutas. - **Cookies HttpOnly legibles por JavaScript** en rutas Edge, tanto con App Router como con Pages Router. - **Inyección de respuestas entre clientes** en webs autoalojadas que reenvían un `fetch` sin tocar, detrás de un proxy HTTP/1.1 con _pipelining_. - **Salto del bloqueo de SVG** en la optimización de imágenes, cuando `images.dangerouslyAllowSVG` está en `false`. La rama 15 recibe tres de las siete correcciones en 15.5.29 (las cookies, la inyección de respuestas y el SVG); la rama 16, las siete en 16.4.5, según las notas de versión de Next.js en GitHub del 3 de noviembre de 2026. ## ¿Es tan grave como la actualización de octubre? No: la del 3 de noviembre de 2026 son siete fallos de severidad media, y casi todos exigen funciones concretas (Cache Components, argumentos binarios en `use cache`, rutas Edge que ponen cookies sensibles). La del 14 de octubre de 2026 corrigió [dos fallos críticos de ejecución remota de código en la 16.4.1](https://rigolco.com/noticias/nextjs-16-4-1-dos-fallos-criticos-actualizar/), y la 16.4.5 incluye aquellos arreglos. Una web corporativa sin esas funciones tiene poco expuesto, pero conviene aplicar el parche en el siguiente despliegue, no en un mes. ## ¿Qué tienes que hacer según dónde esté alojada tu web? Actualizar `next` a 16.4.5 (o a 15.5.29 si sigues en la rama 15) y volver a desplegar; en Netlify, además, revisar el adaptador. En orden: 1. **Mira la versión.** Quien mantenga la web puede correr `npm ls next` en el proyecto o revisar el `package.json`. 2. **Actualiza y guarda el lockfile.** Sube `next` a 16.4.5 o a 15.5.29 y haz commit del archivo de dependencias bloqueadas. 3. **En Vercel**, vuelve a desplegar: con eso basta. 4. **En Netlify**, al volver a desplegar se instala solo el adaptador `@netlify/plugin-nextjs` 5.16.6, que hace falta para el caso del Middleware; si su versión está fijada a mano en `package.json` o en `netlify.toml`, súbela tú. «Upgrading Next.js alone does not fix the Middleware case on Netlify» (actualizar solo Next.js no arregla el caso del Middleware en Netlify), avisa el changelog de Netlify del 3 de noviembre de 2026\. Según Netlify, tres de las siete vulnerabilidades no afectan a su plataforma. Un despliegue de producción no purga la caché de los _branch deploys_ ni de los _deploy previews_: púrgala o bórralos. 5. **En servidor propio** (VPS, Docker o `next start`), actualiza y reinicia. Ahí pueden aplicar las siete, según los avisos de Next.js del 3 de noviembre de 2026; si hoy no puedes actualizar y usas Cache Components, `partialPrefetching: true` mitiga el fallo del 404 en caché. ## ¿Qué datos conviene guardar? Estas son las cifras y fechas que confirman Next.js y Netlify a 3 de noviembre de 2026: - **3 de noviembre de 2026**: Next.js publica siete avisos de seguridad, todos de severidad media, corregidos en las versiones 16.4.5 y 15.5.29\. Fuente: [avisos de seguridad de Next.js en GitHub](https://github.com/vercel/next.js/security/advisories) y [changelog de Netlify](https://www.netlify.com/changelog/2026-11-03-nextjs-security-vulnerabilities/); el primero es el proyecto sobre su propio software y el segundo, una plataforma que aloja webs en Next.js. - **15.5.29 y 16.4.5**: la rama 15 recibe tres de las siete correcciones en 15.5.29; la rama 16, las siete en 16.4.5\. Fuente: [avisos de seguridad de Next.js en GitHub](https://github.com/vercel/next.js/security/advisories), 3 de noviembre de 2026. - **`@netlify/plugin-nextjs` 5.16.6**: en Netlify, uno de los casos (Middleware) exige además el adaptador 5.16.6; se instala solo al volver a desplegar, salvo que la versión esté fijada. Fuente: [changelog de Netlify](https://www.netlify.com/changelog/2026-11-03-nextjs-security-vulnerabilities/), 3 de noviembre de 2026, Netlify sobre su propia plataforma. ## ¿Por qué conviene tener una rutina de actualización? Porque es la segunda tanda de seguridad de Next.js en tres semanas: el 14 de octubre de 2026 salió la 16.4.1, con dos fallos críticos, y el 3 de noviembre de 2026 la 16.4.5, con siete de severidad media. Quien mantenga webs en Next.js necesita revisar versiones y desplegar con calendario fijo, no reaccionar a cada aviso. Las webs hechas en otros frameworks, como Astro o WordPress, no se ven afectadas por estas siete. En Rigol&Co podemos revisar contigo en qué versión de Next.js está tu web y [actualizarla y volver a desplegarla](https://rigolco.com/sitios-web/). ## Fuentes 1. [GitHub · avisos de seguridad de Next.js (3 de noviembre de 2026)](https://github.com/vercel/next.js/security/advisories) · Next.js (Vercel), el propio proyecto, describiendo sus fallos 2. [nextjs.org · November 2026 Security Release (3 de noviembre de 2026)](https://nextjs.org/blog/november-2026-security-release) · Next.js (Vercel), el propio fabricante 3. [Netlify · Next.js security vulnerabilities (3 de noviembre de 2026)](https://www.netlify.com/changelog/2026-11-03-nextjs-security-vulnerabilities/) · Netlify, la plataforma de hosting, sobre el impacto en su propio servicio El resto de noticias, en [Noticias](https://rigolco.com/noticias/). El porqué largo, con cifras y fuentes, en [Análisis](https://rigolco.com/analisis/). ![](https://rigolco.com/assets-blog/autor-ton-96.webp) [Ton Rigol](https://rigolco.com/sobre/) Fundador de Rigol&Co. Querétaro, México. ¿Te resultó útil? Añade **Rigol&Co** como fuente preferida y verás nuestras noticias más a menudo en tu Búsqueda de Google. [ Añadir como fuente preferida en Google ](https://google.com/preferences/source?q=rigolco.com) ## ¿Hablamos de tu proyecto? Cuéntanos qué necesitas y te decimos con honestidad qué tiene más sentido para tu negocio. [ Agenda una llamada ](https://cal.com/ton-rigol-rojano-okaosp/30min) ## Relacionadas [Ver todas las noticias](https://rigolco.com/noticias/) [ **Sitios web** · 3 noviembre 2026 Vercel bloquea en los builds los paquetes npm marcados como maliciosos: si tu proyecto tiene uno, el deploy falla hasta que lo actualices ](https://rigolco.com/noticias/vercel-bloquea-paquetes-npm-maliciosos-deploy-falla/)[ **Sitios web** · 1 noviembre 2026 Vercel empieza a cobrar la caché de Next.js: los equipos Hobby migran el 29 de noviembre ](https://rigolco.com/noticias/vercel-cobra-cache-next-js-hobby-29-noviembre/)