2026-10-24 11:57:42 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【漏洞预警】Next.js爆出RCE漏洞(POC已公开)CVE-2026-96889

YGnight
YGnight

night安全

2026年10月19日 08:10
四川

去阅读

一、漏洞描述

Next.js 的 /\_next/image 负责把图片压缩一遍再交给浏览器，前端传个原始地址和尺寸就行。

2026 年 10 月 14 日那次计划外的安全更新里，带了三个问题，这个是其中一个，公告编号 GHSA-2464-fhr4-w9xw。

崩的地方不在 Next 自己写的代码里。优化走 sharp，sharp 底下是 libvips，libvips 静态链了 librsvg，最后一环才是出问题的那个。

RustSec 那边编号 RUSTSEC-2026-0305，9 月 23 日发出，修在 librsvg 2.63.2。

打分有两套，量的是不同的东西。

官方把能拿到执行权的条件写成了 glibc 的 Linux，其他平台只到拒绝服务。


CVE 编号	CVE-2026-96889
公告编号	GHSA-2464-fhr4-w9xw，上游 RUSTSEC-2026-0305
漏洞类型	释放后使用，CWE-416，按 NVD 收录口径
影响组件	next 的图片优化接口，实际崩在它依赖的 librsvg，由 libvips 静态链入
受影响版本	10.0.0 ~ 15.5.27、16.0.1 ~ 16.4.0
修复版本	15.5.28、16.4.1，两版均把 sharp 声明抬到 0.35.5 以上
触发前提	目标能取到攻击者给的文件，走本地静态资源或已放行的远端图源都行
利用条件	无需认证，无需交互，默认配置即可；拿到执行权还需 glibc Linux 与非 PIE 的 node 构建
危害面	服务端进程被换掉，官方按机密性完整性可用性三项全 High 记分
CVSS	9.5，CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H；NVD 另收 Red Hat 口径 7.8
在野利用	公开情报中暂无已观测到的在野利用记录

二、漏洞原理

优化器手里有一份旁路名单，名单上的格式原样返回，压都不压。

// packages/next/src/server/image-optimizer/transform.ts
const BYPASS\_TYPES = [SVG, ICO, ICNS, BMP, JXL, HEIC]

if (BYPASS\_TYPES.includes(upstreamType)) {
return { buffer: upstreamBuffer, contentType: upstreamType, ... }
}

// avif 不在这份名单里，buffer 继续往下交给 optimizeImage
// upstreamType 也不是 image/svg\*，dangerouslyAllowSVG 那道判断被绕开

SVG 在名单第一位。正常的 .svg 请求连 sharp 的门都摸不到，这个洞本来没有攻击面。

类型不是看后缀，是看文件头几个字节。

// packages/next/src/server/image-optimizer/detect-content-type.ts
// v16.4.0 与 v16.4.1 两个标签下，这个文件逐字节一致
if (
[0, 0, 0, 0, 0x66, 0x74, 0x79, 0x70, 0x61, 0x76, 0x69, 0x66].every(
(b, i) => !b || buffer[i] === b
)
) {
return AVIF
}

数组前四项是 0，!b 对它们恒真，等于跳过。真正要比的是后面八项，拼出 ftypavif 这串字符。

这八个字节能塞进 XML 注释。librsvg 读的时候把注释当空气，Next 那边的判断却已经认下了这个类型。

'>
<!ENTITY e1 '... 内层文档重新声明 e1 ...'>
<!ENTITY e2 '...'> <!ENTITY e3 '...'> <!ENTITY e4 '...'>
]>

// 内层文档，e0 这个名字外层已经声明过一次

// 载荷里不能有 <?xml ...?>，它不在第 0 字节时 librsvg 直接报错

展开 e0 的时候，libxml2 顺着 data 地址把内层文档取回来解析，那份文档又声明了一遍 e0。

librsvg 的实体表和 libxml2 用的是同一张，entity\_insert() 把外层那条替换掉，替换时 Drop 调了 xmlFreeNode()。

外层的 xmlCtxtParseEntity() 手里还攥着那块 144 字节。

librsvg 的修复在提交 8a1b0cd3，做法是不再释放 libxml2 还在用的 xmlEntity 指针。

一份不够。被释放的那块得再被摸一次，公开靶场试下来五对才分叉，四对以下两个版本都能正常出图。

崩出来的样子是 libxml2 读到释放后的内存，抛 PCDATA invalid Char value 0，sharp 跟着报错；修好的 librsvg 老老实实把图渲染出来。

这里有个坑。优化器把异常接住了，回的是上游那份原始 buffer，状态码照样 200。看状态码判断在不在范围内是没用的。