Vulnerabilitate critică în ImageResponse din Next.js: aplicați patch-ul la versiunea 16.3.6

Vercel a remediat o vulnerabilitate critică în Next.js care afectează ImageResponse, helperul utilizat pentru a genera Open Graph și alte imagini de previzualizare pentru rețelele sociale. Problema, înregistrată sub numărul CVE-2026-94545, poate duce la executarea de cod pe server atunci când o aplicație transmite valori controlate de atacator în imaginea generată. Remedierea a fost implementată pe 22 septembrie în Next.js 16.3.6.

Ce s-a întâmplat

Conform raportului inițial, versiunile de la 16.2.0 până la 16.3.5 sunt afectate atunci când ImageResponse rulează pe motorul de execuție Node.js, care este setarea implicită. Vercel clasifică problema ca fiind critică, cu un scor CVSS de 9,5. Next.js 15 nu este afectat, iar varianta Edge a ImageResponse nu este afectată nici ea — deși mediul de execuție Edge este marcat ca fiind învechit în documentație.

Bug-ul de bază se află în Satori, biblioteca Vercel care transformă structura imaginii în SVG înainte de generarea fișierului PNG. Avizul emis de Satori, publicat în aceeași zi, precizează că anumite valori ajungeau în ieșirea SVG fără a fi escapate corespunzător, astfel încât o valoare special creată ar putea fi interpretată ca cod SVG în loc de text simplu. Satori evaluează același CVE ca fiind moderat (5,3), deoarece impactul depinde de modul în care este utilizat fișierul SVG; în Next.js, Vercel afirmă că astfel de valori pot ajunge la alte biblioteci incluse în pachet și pot duce la executarea de cod. Aceste biblioteci nu au fost numite.

Merită menționate două detalii practice din raport. În primul rând, instrumentele de testare erau în urmă: la data de 23 septembrie, comanda npm audit nu semnalase versiunea afectată 16.3.5, avizul nu se afla încă în baza de date GitHub Advisory Database și nu fusese publicată nicio înregistrare CVE. În al doilea rând, Satori este inclus în pachetul Next.js, așa că nu va apărea în fișierul dvs. de blocare ca o dependență separată. Verificările de versiune trebuie efectuate în raport cu Next.js însuși. La momentul redactării acestui articol, nu se cunoșteau coduri de exploatare publice sau rapoarte privind atacuri.

De ce este important

Rutele de imagini Open Graph par inofensive și sunt adesea scrise o singură dată și uitate. Multe site-uri ale IMM-urilor și tablourile de bord SaaS generează carduri de previzualizare din parametri de interogare — un titlu, un nume, un plan — ceea ce reprezintă exact modelul pe care avizul îl descrie ca fiind riscant. Aceste rute sunt de obicei publice, neautentificate și accesibile oricui poate crea o adresă URL.

Deoarece scanerele automate nu au detectat încă această vulnerabilitate, un raport de audit al dependențelor fără probleme nu constituia o dovadă de siguranță în acest caz. Versiunile afectate sunt disponibile încă de la lansarea Next.js 16.2, pe 18 martie, iar avertismentul nu oferă nicio modalitate de a stabili dacă o rută a fost exploatată înainte de aplicarea patch-ului.

Ce trebuie făcut

1. Verificați direct versiunea Next.js instalată. Dacă este între 16.2.0 și 16.3.5, actualizați la 16.3.6 — raportul menționează că registrul npm nu a listat nicio versiune remediată în ramura 16.2, așa că aplicațiile 16.2 trebuie să treacă la 16.3.6. În linia 15.5, versiunea 15.5.26 adaugă măsuri de securizare pentru next/og.
2. Inventariați utilizarea: căutați ImageResponse importat din next/og, inclusiv handler-ele de rute și fișierele opengraph-image. Notați care dintre acestea citesc valori din cerere.
3. Dacă actualizarea nu se poate efectua imediat, aplicați soluția provizorie din aviz: excludeți valorile controlate de atacatori din conținutul SVG, atributele și stilurile redate de calea Node.js.
4. Dacă utilizați Satori direct, actualizați-l la versiunea 0.33.5. Păstrați jurnalele de acces pentru rutele afectate în timp ce evaluați expunerea.