next/og ImageResponse: مقدار مهاجم در SVG به RCE روی Node می‌رسد

۲۲ سپتامبر ۲۰۲۶ تیم Next.js در به‌روزرسانی امنیتی و advisory گیت‌هاب GHSA-vcvr-r3jv-pc5j باگ CVE-2026-94545 را Critical اعلام کرد — CVSS ۹٫۵.

مقصر سطح اپلیکیشن، ImageResponse در ماژول next/og روی runtime Node.js است؛ نه کل فریم‌ورک و نه مسیر Edge. وقتی مقدار کنترل‌شده توسط مهاجم به محتوا، attribute یا style داخل SVG برسد، زنجیرهٔ upstream Satori می‌تواند به remote code execution روی همان پروسس Node ختم شود. نسخهٔ آسیب‌پذیر: Next.js ≥ 16.2.0 و < 16.3.6. مسیر Edge ImageResponse متأثر نیست.

پچ اصلی next@16.3.6 است. برای خط 15.x شمارهٔ 15.5.26 بیشتر hardening است تا بستن همان RCE روی شاخهٔ ۱۶. اگر OG image می‌سازید و ورودی کاربر، query string یا دادهٔ CMS را مستقیم داخل JSX/SVG مربوط به ImageResponse می‌ریزید، اول نسخه را چک کنید بعد طراحی input را. این باگ یادآوری است که «فقط یک کارت Open Graph» هنوز یک surface اجرای کد سمت سرور است.