【漏洞通告】Next.js next/og 未授权远程代码执行漏洞（CVE-2026-94545）

原创

常行安服团队
常行安服团队

常行科技

2026年10月12日 13:36
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

Next.js 是由 Vercel 开发并维护的 React 全栈开发框架，广泛应用于企业官网、电商与内容平台等场景，其内置的 next/og 模块用于在服务端动态生成 Open Graph 社交分享图片。近期监测到 Next.js next/og 未授权远程代码执行漏洞（CVE-2026-94545）风险，该漏洞源于 next/og 所依赖的 SVG 渲染组件 Satori 存在输出编码缺陷，攻击者无需认证，即可通过向相关 OG 图片路由发送单个特制请求，在服务器进程权限下执行任意命令，进而读取环境变量与应用密钥、访问内网服务、植入持久化后门，机密性、完整性与可用性均受严重影响；该漏洞影响 Next.js 16.2.0 至 16.3.5 版本，官方已在 Next.js 16.3.6 及 Satori 0.33.5 中完成修复，建议用户尽快升级。

漏洞详情

Vulnerability Details

0x00

• 漏洞描述

Next.js next/og 未授权远程代码执行漏洞源于其依赖的 SVG 渲染组件 Satori 在处理用户输入时未能正确进行 XML 转义，导致攻击者可将恶意 SVG 标记注入生成的图像内容中。当 OG 图片路由运行于 Node.js 运行时且安装了 sharp 时，注入内容将被交由底层原生解析库（libvips、librsvg、libxml2）处理，进而触发内存破坏并实现远程代码执行。攻击者可利用该漏洞，向目标 Next.js 应用的 OG 图片生成端点发送特制的未认证请求，在无需有效凭证的情况下，以服务进程权限在服务器上执行任意命令，读取环境变量与应用密钥、访问内网服务、植入持久化后门。

受影响范围

Affected Version

0x01

16.2.0 <= Next.js < 16.3.5（Node.js 运行时且安装 sharp 的场景）；

0.0.27 <= Satori <0.33.5

修复方案

Solutions

0x02

• 正式防护方案

受影响用户应尽快将 Next.js 升级至 16.3.6 或更高版本。若项目直接依赖 Satori，应同时确认 Satori 已升级至 0.33.5 或更高版本。

• 临时缓解措施

若暂时无法升级，应立即停止将任何攻击者可控的输入传入 Node.js 版 ImageResponse 所处理的 SVG 内容、属性或样式中。

漏洞复现/验证

Reproduction

0x03

常行科技安全研究人员已成功复现该漏洞，截图如下：

the end

已关注

关注

重播 分享 赞

关闭

观看更多

更多

退出全屏

切换到竖屏全屏退出全屏

常行科技已关注

分享视频

，时长02:30

0/0

00:00/02:30

切换到横屏模式

继续播放

[ ]

进度条，百分之0

播放

00:00

/

02:30

02:30

倍速

全屏

倍速播放中

0.5倍0.75倍1.0倍1.5倍2.0倍

超清流畅

继续观看

【漏洞通告】Next.js next/og 未授权远程代码执行漏洞（CVE-2026-94545）

观看更多

原创

,

【漏洞通告】Next.js next/og 未授权远程代码执行漏洞（CVE-2026-94545）

常行科技已关注

分享点赞在看

已同步到看一看写下你的评论

视频详情

常行科技是一家专注于网络安全解决方案和运营服务的“专精特新”企业，粤港澳专精特新标杆企业 TOP100，国家级高新技术企业，国家级科技型中小企业，广东省创新型中小企业，立志深耕于网络安全服务领域，是网络安全运营服务PTM理论的首创者。

自建网络安全攻防实验室“大圣·攻防实验室(DS-Lab)”，专注于最新的网络攻防技术研究、安全人才培养、客户环境模拟、安全产品研发、应急演练模拟、安全技术培训等。与鹏城实验室深入合作，共建鹏城靶场常行科技分靶场。大圣·攻防实验室“行者战队”近年来多次参加国内外的实战攻防演练及比赛，并取得优秀战果。

常行科技三大服务体系、六大场景化解决方案多维度为客户提供最适合自身需求的高性价比网络安全解决方案，低成本、高质量地帮助客户解决网络和数据安全相关问题。

有常行，更安全

常为而不置

常行而不休

了解更多咨询请关注公众号