fix(deps): bump next ^16.2.6 → ^16.3.3 (security release, 2 CVEs críticos)

[SabaTech-dev]

Issue vinculado

N/A — workboard card 2dda5714 (bump security Next.js 16.3.3, 2 CVEs críticos)

---

¿Qué cambia este PR?

Bump de next ^16.2.6 → ^16.3.3: security release del 25-ago que corrige 2 CVEs críticos que afectan a 16.2.x. El lockfile se regenera con pnpm 9 (toolchain de CI), preservando el bloque overrides: de seguridad.

Fichero	Cambio
package.json	next ^16.2.6 → ^16.3.3
pnpm-lock.yaml	next 16.2.11 → 16.3.3 (overrides intactos)

---

Evidencia de verificación

Comandos ejecutados:

pnpm@9 install          # OK (7.5s, overrides preservados)
pnpm@9 run build        # OK (exit 0)
pnpm@9 run lint         # exit 2 — preexistente, ver notas

Resultado:

• Build: tabla de rutas completa generada, exit 0.
• Lint: falla de forma PREEXISTENTE e idéntica en main (no existe eslint.config.* en el repo; CI ejecuta pnpm lint || true). No relacionado con este bump.

---

Notas para el reviewer

• El lockfile se regeneró con pnpm 9 a propósito: pnpm 11 ya no lee pnpm.overrides de package.json y elimina el bloque overrides: del lockfile, lo que rompería pnpm install --frozen-lockfile de CI (que pinea pnpm 9) y perdería los overrides de seguridad.
• eslint-config-next permanece en 16.1.6 (pin existente, sin conflicto de peers con next 16.3.3); actualizarlo queda fuera del alcance de esta card.