Execução remota de código na geração de imagens com next/og
O ImageResponse de next/og usa, no runtime Node.js, um componente com uma vulnerabilidade que pode permitir execução remota de código. A falha afeta a geração de imagens quando um atacante consegue inserir valores no conteúdo do SVG (gráfico vetorial), inclusive em seus atributos ou estilos. Você precisa revisar a origem dos valores usados nessa renderização, além da versão instalada do Next.js.
Casos de uso afetados
- Uma rota de geração de imagens executada em Node.js lê o parâmetro value da URL e o coloca no elemento title de um SVG enviado ao ImageResponse. Nesse cenário documentado, um atacante controla parte do conteúdo renderizado por meio da própria requisição.
Confira na sua instância
Localize os imports de ImageResponse vindos de next/og e confirme o runtime de cada rota que gera imagens. Nas rotas em Node.js, acompanhe o caminho dos parâmetros da requisição até o SVG, verificando também valores usados em atributos e estilos. Confira a versão efetivamente instalada do pacote next no ambiente publicado e compare-a com >= 16.2.0 < 16.3.6. A correção informada é 16.3.6. Se a atualização precisar aguardar, remova os valores controlados externamente do SVG, conforme a alternativa do aviso. Para conferir essa alteração em homologação, use um texto inofensivo como parâmetro e revise se ele ainda chega ao SVG. Essa conferência verifica o caminho da entrada e não comprova a correção da vulnerabilidade.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| next (npm) | >= 16.2.0 < 16.3.6 | 16.3.6 |
O aviso identifica a falha como CVE-2026-94545. A implementação Edge do ImageResponse e as aplicações que não inserem valores controlados por um atacante no SVG estão fora do cenário afetado. A correção disponível no projeto precisa ser aplicada ao seu ambiente.
