【已复现】漏洞通告 | Next.js next/og 未授权远程代码执行漏洞(CVE-2026-94545)

安全实验室
安全实验室

中成信息

2026年9月30日 17:16
福建

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

1

漏洞描述

Next.js的next/og模块在处理动态Open Graph图片生成时，依赖的SVG渲染库Satori未对用户输入进行正确转义，导致攻击者可通过构造恶意SVG注入代码。当应用运行在Node.js环境且安装了Sharp组件时，注入的SVG会触发原生图像处理库的内存破坏漏洞，最终实现远程代码执行。该漏洞影响Next.js16.2.0至16.3.5版本，攻击者无需认证即可利用。

2

影响范围

16.2.0 <= Next.js < 16.3.5（Node.js 运行时且安装 sharp 的场景）

0.0.27 <= Satori <0.33.5

其他受影响组件

Satori（next/og 依赖的 JSX SVG 渲染器）

3

漏洞详情

4

漏洞复现

中成信息安全实验室已复现Next.js next/og 未授权远程代码执行漏洞，验证如下。

5

修复建议

官方已发布安全补丁，请及时更新至安全版本：

Next.js 升级至 16.3.6 及以上版本；

同步升级 Satori 至 0.33.5 及以上版本（该版本在序列化 SVG 文本时进行转义，修复注入点）；

下载地址：https://github.com/vercel/next.js/releases

临时缓解措施：

1. 将 next/og 路由切换为 export const runtime = 'edge'，改用沙箱化的 resvg-wasm 渲染器；

2. 或移除 sharp 依赖，避免走原生图像解析链路；

3. 避免将未经净化处理的用户输入传入 ImageResponse 子节点；

4. 为 OG 图片路由增加认证或访问白名单。

关于我们

漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了顶尖的渗透测试专家（红队）、应急处置精英（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。

点击名片

关注我们

扫描官网二维码

了解更多