Lỗ hổng Next.js ImageResponse có thể dẫn đến thực thi mã trên máy chủ
"A critical vulnerability in Next.js ImageResponse (CVE-2026-94545) can lead to server-side code execution when attacker-controlled data is rendered into SVG content on the Node.js runtime. The issue affects Next.js 16.2.0 through 16.3.5 and was fixed in 16.3.6; the recommended mitigation is to upgrade or avoid passing untrusted values into SVG content, attributes, or styles."
CVE-2026-94545 có thể dẫn đến thực thi mã trên máy chủ nếu dữ liệu do kẻ tấn công kiểm soát được đưa vào SVG. Ảnh hưởng cao với hệ thống dùng Next.js ImageResponse trên Node.js runtime.
Ứng dụng web có thể bị ảnh hưởng ở lớp tạo ảnh xem trước, gây rủi ro gián đoạn dịch vụ và sự cố an ninh. Cần nâng cấp bản vá và rà soát luồng dữ liệu đầu vào để giảm nguy cơ vận hành.
Một lỗ hổng nghiêm trọng trong Next.js ImageResponse có thể cho phép kẻ tấn công dẫn tới thực thi mã phía máy chủ khi ứng dụng đưa dữ liệu do người dùng kiểm soát vào nội dung SVG. Lỗi này được gắn mã CVE-2026-94545, ảnh hưởng đến Next.js 16.2.0 đến 16.3.5 khi chạy trên Node.js runtime; phiên bản 16.3.6 đã được phát hành để khắc phục.
Theo khuyến cáo, rủi ro xuất hiện khi ứng dụng chèn giá trị không tin cậy vào SVG content, attributes hoặc styles trong quá trình tạo ảnh. Tính năng ImageResponse thường được dùng để tạo ảnh xem trước mạng xã hội và Open Graph. Bản vá cũng cho biết Edge runtime không bị ảnh hưởng, còn Next.js 15 không nằm trong phạm vi lỗi này.
Quản trị viên và nhóm phát triển nên kiểm tra trực tiếp phiên bản Next.js đang triển khai, sau đó nâng cấp lên 16.3.6 càng sớm càng tốt. Nếu chưa thể nâng cấp ngay, cần loại bỏ dữ liệu không tin cậy khỏi mọi phần SVG mà ImageResponse xử lý. Với các dự án dùng Satori trực tiếp, cần cập nhật lên 0.33.5.