Next.js image optimization has Denial of Service condition

Las versiones de Next.js anteriores a la 14.2.7 tienen un defecto en la optimización de imágenes que puede ser explotado para consumir exceso de CPU y dejar la aplicación no disponible. Esto afecta a la mayoría de configuraciones estándar, a menos que la optimización sea desactivada o personalizada.

Una vulnerabilidad de llamada recursiva (CWE-674) en la optimización de imágenes de Next.js permite que atacantes remotos desencadenen consumo ilimitado de recursos mediante solicitudes de imagen especialmente construidas, causando denegación de servicio. La vulnerabilidad afecta versiones 10.x a 14.x anteriores a 14.2.7 con optimización de imágenes predeterminada; aplicaciones con images.unoptimized=true, loaders personalizados u hospedadas en Vercel no se ven afectadas.