【已复现】Next.js next/og 未授权远程代码执行漏洞（CVE-2026-94545）

原创

360漏洞研究院
360漏洞研究院

360漏洞研究院

2026年9月30日 11:45
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

Next.js next/og ImageResponse 存在严重远程代码执行漏洞（CVE-2026-94545，CVSS 9.5）。攻击者无需预先获得 Next.js 应用账户权限，但目标必须使用受影响版本的 Next.js，并采用 next/og 的 Node.js ImageResponse 实现，同时将攻击者可控数据传入 SVG 内容、属性或样式。在满足相关运行环境与依赖条件时，漏洞可能进一步导致服务器进程上下文中的远程代码执行。

利用前置条件：

• 使用 next/og 的 Node.js ImageResponse
• 应用将请求参数、请求体或其他攻击者可控数据传入 SVG 内容、属性或样式

目前360图龙锋 · 漏洞挖掘智能体已成功复现该漏洞。本文包含完整影响范围、正式修复方案、技术原理与复现细节。

01

漏洞影响范围

16.2.0 <= Next.js < 16.3.6

官方确认的必要应用条件：

• 使用 next/og 的 Node.js ImageResponse
• 将攻击者可控值传入生成 SVG 的内容、属性或样式

官方明确不受该漏洞影响的场景：

• 使用 Edge ImageResponse 实现
• 未将攻击者可控数据传入 SVG 内容、属性或样式

上游组件 Satori 的受影响范围：

0.0.27 <= Satori < 0.33.5

Satori 的实际影响取决于生成 SVG 的后续处理方式，其受影响版本范围不能直接等同于 Next.js RCE 的可利用范围。

02

修复建议

正式防护方案

受影响用户应尽快将 Next.js 升级至 16.3.6 或更高版本。若项目直接依赖 Satori，应同时确认 Satori 已升级至 0.33.5 或更高版本。

03

漏洞描述

近日，Vercel 公开了 Next.js next/og ImageResponse 中存在的远程代码执行漏洞（CVE-2026-94545）。该问题与上游 Satori 的 SVG 序列化处理有关，部分外部可控数据在写入 SVG 时转义处理不足，可能被解析为额外的 SVG 标记，而非普通文本。

在 Next.js Node.js ImageResponse 场景中，若应用将请求参数、请求体或其他外部可控值传入 SVG 内容、属性或样式，恶意输入可进入后续图像生成流程。公开研究显示，在特定 sharp、Node.js 及原生图像解析组件环境下，构造的 SVG 可进一步触发内存破坏并实现服务器进程上下文中的代码执行。需要注意，当前公开 PoC 对运行环境和原生依赖版本存在适配要求，其复现结果不能直接外推至所有官方受影响版本环境。

04

漏洞复现

360漏洞研究院依托图龙锋漏洞挖掘智能体已成功复现 CVE-2026-94545 漏洞，测试环境采用 Next.js Node.js Runtime，并通过 next/og ImageResponse 将外部可控内容传入 SVG 生成流程。在匹配公开研究所需的 sharp 及原生图像处理依赖后，最终验证服务器进程上下文中的代码执行。

CVE-2026-94545

Next.js next/og ImageResponse 远程代码执行漏洞复现

05

产品侧支持情况

360安全智能体：支持该漏洞攻击的智能分析。

360测绘云 Quake：默认支持该产品的指纹识别。

360高级持续性威胁预警系统：预计 2026年10月8日发布规则更新包，支持该漏洞利用行为的检测。

360资产与漏洞检测管理系统：预计 2026年10月8日发布规则更新包，支持该漏洞利用行为的检测。
本地安全大脑：默认支持该漏洞的PoC检测。

06

时间线

2026年9月30日，360漏洞研究院发布本安全风险通告。

07

参考链接

https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j

https://github.com/vercel/satori/security/advisories/GHSA-wx4j-mvgx-mqwp

https://github.com/EQSTLab/CVE-2026-94545

08

更多漏洞情报

“扫描下方二维码，进入公众号粉丝交流群。更多一手网安资讯、漏洞预警、技术干货和技术交流等您参与！”

建议您订阅360漏洞情报服务，获取更多漏洞情报详情以及处置建议，让您的企业远离漏洞威胁。

邮箱：[email protected]

网址：https://vi.loudongyun.360.net

“洞”悉网络威胁，守护数字安全

关于我们

360漏洞研究院，隶属于360安全能力中心。其成员常年入选谷歌、微软、华为等厂商的安全精英排行榜, 并获得谷歌、微软、苹果史上最高漏洞奖励。研究院是中国首个荣膺Pwnie Awards“史诗级成就奖”，并获得多个Pwnie Awards提名的组织。累计发现并协助修复谷歌、苹果、微软、华为、高通等全球顶级厂商CVE漏洞3000多个，收获诸多官方公开致谢。研究院也屡次受邀在BlackHat，Usenix Security，Defcon等极具影响力的工业安全峰会和顶级学术会议上分享研究成果，并多次斩获信创挑战赛、天府杯等顶级黑客大赛总冠军和单项冠军。研究院将凭借其在漏洞挖掘和安全攻防方面的强大技术实力，帮助各大企业厂商不断完善系统安全，为数字安全保驾护航，筑造数字时代的安全堡垒。