Resumo
O Next.js v16.3.6 corrige uma vulnerabilidade de execução remota de código no ImageResponse de next/og com runtime Node.js. O aviso oficial identifica aplicações que inserem valores controlados por terceiros no SVG usado para gerar imagens.
Novidades
A publicação trata de segurança, sem anunciar recursos adicionais para a aplicação.
Melhorias
As notas concentram a mudança na correção de next/og, sem descrever melhorias independentes.
Correções
- Next.js v16.3.6 — Geração de imagens: a versão corrige a vulnerabilidade documentada no aviso GHSA-vcvr-r3jv-pc5j.
Ponto de Atenção
- Next.js v16.3.6 — Runtime afetado: o aviso abrange versões de 16.2.0 até anteriores a 16.3.6. A implementação Edge não é afetada pela condição descrita.
- Next.js v16.3.6 — Teste sugerido: confira o runtime das rotas de imagem e teste a geração após atualizar a dependência. Enquanto a atualização estiver pendente, retire valores controlados por terceiros do SVG processado pelo
ImageResponseem Node.js.
Notas da versão
- Next.js v16.3.6 — Publicação oficial: release estável publicada em 22/09/2026. Consulte as notas no GitHub.