В известном веб-фреймворке Next.js выявлена серьезная уязвимость, обозначенная как CVE-2026-94545 и получившая оценку в 9.5 по системе оценки CVSS. Неисправность связана с компонентом ImageResponse, предназначенным для автоматического создания социальных превью и динамических изображений. В определенных обстоятельствах эта брешь предоставляет злоумышленникам возможность выполнить произвольный код на стороне сервера.
Причиной проблемы является встроенная библиотека Satori, отвечающая за преобразование верстки в формат SVG перед формированием финального PNG-изображения. Из-за недостаточного экранирования пользовательские данные, например параметры, передаваемые через URL, попадают в код SVG без обработки. Это позволяет злоумышленнику использовать специально составленную строку, которая интерпретируется сервером как исполняемый код, используя уязвимости в смежных библиотеках фреймворка.
Затронуты версии Next.js от 16.2.0 до 16.3.5, работающие на платформе Node.js . Для решения этой проблемы компания Vercel выпустила срочные обновления: версии 16.3.6 и 15.5.26. Рекомендуется как можно скорее обновить зависимость next в текущих проектах или, как временную меру, избегать передачи ненадежных пользовательских данных в компонент генерации изображений.
