2026年第19期

【预警类型】风险提示

【预警内容】关于Next.js ImageResponse远程代码执行漏洞的预警提示

一、漏洞详情

Next.js 是 Vercel 维护的开源 React 框架，npm 包名为 next。next/og 导出的 ImageResponse 用来生成 Open Graph 等动态图片；Node.js 运行时把 JSX 交给内置的 @vercel/og，再由上游库 Satori 转成 SVG。

受影响版本中，Satori 在拼接 SVG 时把文本、属性和样式原样写入标记。应用一旦使用 Node.js 版 ImageResponse，并把请求参数等外部可控值放进 SVG 内容、属性或样式，这些值会按 SVG 标记解析。该路径还会触发其他上游依赖中的问题，并在服务端执行任意代码。只使用 Edge 版 ImageResponse，或没有把外部可控值写进 SVG 的应用，不受此漏洞影响。

修复版本中通过转义 SVG 序列化结果切断该路径。Satori 0.33.5 改为经 buildXMLString 输出标记，在写入元素名、属性名、属性值和文本前做名称校验和 HTML 转义。Next.js 16.3.6 把这套校验和转义打进自带的 @vercel/og 0.11.1，Node.js ImageResponse 向后续图片渲染提交已转义内容。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

PNext.js (Node.js ImageResponse)   16.2.0- 16.3.5

Satori(独立使用)   ≥0.0.27, <0.33.5态

三、修复建议

官方已发布安全补丁，请及时更新版本：

将组件 next 升级至 16.3.6 及以上版本 

将组件 satori 升级至 0.33.5 及以上版本