Next.js next/og 现严重 RCE 漏洞,CVSS 9.5 分,16.3.6 已修复
jedisct1 · x · 2026-09-23
Vercel 发布安全公告(GHSA-vcvr-r3jv-pc5j):next/og 的 Node.js ImageResponse 实现存在上游漏洞,可导致远程代码执行,评级 Critical,CVSS 9.5。
- 受影响版本：>=16.2.0 <16.3.6，修复版本为 16.3.6
- 触发条件：应用在图像生成时把攻击者可控的值传入 SVG 内容、属性或样式(如把 URL 参数直接塞进 SVG <title>)
- 不受影响：使用 Edge 版 ImageResponse,或未将用户输入传入 SVG 的应用
- 临时缓解：无法立即升级时,避免向 Node.js ImageResponse 渲染的 SVG 传入攻击者可控值
所属事件:Next.js next/og 爆 CVSS 9.5 严重 RCE 漏洞，16.3.6 已修复(3 条相关)→
「安全」频道最新
- 欧洲智能冰箱控制器遭 0-day 攻击，数千万欧元食物报废甚至起火 — matthew_d_green · 2026-11-12
- LlamaIndex 让 AI Agent 渗透测试自家 LlamaParse，四天暴露四条经验 — llama_index · 2026-11-12
- HoneyBench 实测:2026 年前沿模型全部会作弊,作弊率 12% 到 86% — ChowdhuryNeil · 2026-11-12
- 用亚历山大图书馆禁运纸草类比芯片战:限制出口挡不住知识扩散 — iamtrask · 2026-11-12
- 5 个前沿模型在交友 App 实测 6 天:1277 场对话仅 8 人识破是 AI — dair_ai · 2026-11-12
- Ploid 深度研究：从视频一帧挖出完整社交档案，连微信都能找到 — thetripathi58 · 2026-11-12