Improper CSP in Image Optimization API for Next.js

Next.js en versiones 10.0.0 a 12.0.x tiene una debilidad en su función de optimización de imágenes que permite eludir protecciones de seguridad (CSP) cuando se utilizan SVGs. Esto podría permitir que código malicioso se ejecute en los navegadores de los usuarios si el dominio de imágenes acepta SVGs cargados por usuarios.

Existe un bypass de Content Security Policy (CSP) en la API de Image Optimization de Next.js cuando `images.domains` está configurado con hosts que permiten carga de SVG proporcionado por usuarios y se utiliza el cargador de imágenes predeterminado. Un atacante puede crear contenido SVG malicioso que elude restricciones de CSP, potencialmente conduciendo a ataques de ejecución de script entre sitios (XSS). La mitigación requiere actualizar a la versión 12.1.0 o configurar un `loader` no predeterminado en `next.config.js`.