Next.js next/og 爆 9.5 分严重 RCE，SVG 注入可致服务器执行代码
evilsocket · x · 2026-09-23
Vercel 披露 Next.js next/og 的 Node.js 版 ImageResponse 存在远程代码执行漏洞（CVE-2026-94545，CVSS 9.5）。
- 影响版本：>=16.2.0 且 <16.3.6，已在 16.3.6 修复
- 触发条件：应用将攻击者可控的值（如 URL 参数）传入生成的 SVG 内容、属性或样式时，即可在网络侧无认证、无用户交互地触发 RCE
- Edge 版 ImageResponse 不受影响；从不把用户输入写进 SVG 的应用也不受影响
- 临时缓解：无法立即升级时，避免将攻击者可控值传入 Node.js 版 ImageResponse 的 SVG
所属事件:Next.js next/og 爆 CVSS 9.5 严重 RCE 漏洞，16.3.6 已修复(3 条相关)→
「安全」频道最新
- AI 加速漏洞发现与利用，安全领袖呼吁回归基础防护 — moniquejmorrow · 2026-11-11
- 安全团队攻破最新版 Codex:提示注入到沙箱逃逸再触及 npm 供应链 — rez0__ · 2026-11-11
- 边散步边口述问题，让 Claude Code 自动跑实验的工作流 — DimitrisPapail · 2026-11-11
- 美国数据厂商被指向中国军方关联企业出售RL环境数据 — xeophon · 2026-11-11
- LMArena 负责人谈评测：以「能否帮人完成真实工作」为核心指标 — MattPerault · 2026-11-11
- METR 回应质疑:AI 提速结论基于大量未公开数据 — peterwildeford · 2026-11-11