Next.js: Unbounded next/image disk cache growth can exhaust storage
Next.js almacena imágenes optimizadas en caché en disco sin límite de tamaño, permitiendo que un atacante llene el almacenamiento de su servidor solicitando muchas variaciones diferentes de imágenes. Esto puede bloquear su aplicación y dejar su sitio web no disponible.
CVE-2026-27980 afecta Next.js versiones 10.0.0 a 16.1.6 donde el directorio de caché `/_next/image` crece sin límite sin control de recursos. Un atacante puede explotar CWE-400 (Consumo Descontrolado de Recursos) creando solicitudes con parámetros variados de optimización de imágenes para agotar el espacio en disco, resultando en denegación de servicio. La mitigación requiere actualizar a 16.1.7+ que implementa evicción LRU mediante `images.maximumDiskCacheSize`, o limpiar temporalmente directorios de caché y restringir patrones de generación de variantes.
¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →