Критична уязвимост в Next.js, проследявана като CVE-2026-94545, засяга Node.js ImageResponse реализацията в пакета next/og и би могла да позволи отдалечено изпълнение на код (RCE) чрез експлоатиране на зловредно SVG съдържание по време на генерирането на изображения.
Проблемът засяга версии на Next.js от 16.2.0 до версиите преди 16.3.6. На разработчиците се препоръчва спешно да обновят до Next.js 16.3.6, която съдържа корекцията за сигурност.
Уязвимостта съществува в Node.js ImageResponse реализацията, използвана за динамично създаване на Open Graph изображения, изображения за преглед в социалните мрежи и други графики, генерирани на сървъра.
Компонентът за рендиране на изображения съдържа уязвимост в основния си код, която може да бъде активирана, когато дадено приложение постави данни, контролирани от атакуващ, в SVG елементи, атрибути или стилове.
Атакуващ може да експлоатира проблема, когато уязвимо приложение приема входни данни от URL параметър, поле на форма, API заявка или друг ненадежден източник и вгражда тази стойност директно в SVG изображение.
Например, дадено приложение може да извлече параметър от постъпваща заявка и да го рендира вътре в SVG <title> елемент при създаване на изображение чрез ImageResponse.
Критична уязвимост за отдалечено изпълнение на код в NEXT.JS
При такъв тип внедряване злонамерен субект би могъл да изпрати специално формулирани входни данни, свързани със SVG, които да достигнат до уязвимия процес на рендиране. Успешното експлоатиране може да доведе до отдалечено изпълнение на код на сървъра, обработващ заявката за генериране на изображения.
Докладът за сигурност на GitHub ( GHSA-vcvr-r3jv-pc5j ) определя критична степен на сериозност на уязвимостта според CVSS v4. Атаката може да бъде извършена отдалечено по мрежата, не изисква автентификация и не изисква взаимодействие от страна на потребителя.
Въпреки че изискванията за извършване на атаката са ниски, потенциалното въздействие е сериозно, тъй като експлоатирането може да засегне поверителността, целостта и наличността както на уязвимата система, така и на свързаните с нея системи.
Компрометирана среда за генериране на изображения в Next.js би могла да разкрие чувствителни данни от страна на сървъра, да позволи промяна на хоствано съдържание, да наруши работата на услугите или да даде на атакуващите първоначална позиция за последващи атаки.
Действителното въздействие зависи от това как е хоствано Next.js приложението, какви са неговите разрешения и дали процесът за генериране на изображения има достъп до тайни ключове, идентификационни данни за облачни услуги, вътрешни услуги или инфраструктура за внедряване.
Не всяко внедряване на Next.js е уязвимо. Приложенията, използващи Edge реализацията на ImageResponse, не са засегнати според доклада.
Приложения, които използват функцията Node.js ImageResponse, но никога не поставят контролирани от атакуващ стойности в SVG съдържание, атрибути или CSS стилове, също не са засегнати.
Организациите трябва незабавно да прегледат крайните точки, които генерират изображения чрез next/og, особено Open Graph маршрутите за изображения, които използват query-string параметри. Разработчиците трябва да идентифицират всички ненадеждни стойности, рендирани вътре в SVG маркирания, и да обновят засегнатите инсталации до версия 16.3.6.
Когато незабавното инсталиране на корекции за сигурност не е възможно, разработчиците трябва да спрат подаването на контролирани от потребителя данни в SVG съдържание, атрибути и стилове, обработвани от Node.js ImageResponse реализацията.
Само Валидацията на входните данни не трябва да се разглежда като трайно решение, тъй като сложната обработка и рендиране на SVG могат да създадат непредвидени вектори на атака.
Уязвимостта е докладвана от изследователите по сигурност RaghavMaheshwari124 и rafabd1. Потребителите на Next.js трябва да разглеждат отстраняването на тази уязвимост като приоритет, тъй като достъпните през интернет крайни точки за генериране на изображения могат лесно да бъдат открити и сканирани от киберпрестъпници.