远程主机上的 Next.js Framework 受到远程代码执行漏洞的影响:

  - next/og 的 Node.js ImageResponse 实现受到上游 Satori 漏洞的影响。
    Satori 在将某些值纳入生成的 SVG 输出之前未对其进行正确转义，这可允许将构建的值解释为 SVG 标记。在图像生成期间将攻击者控制的值传递到 SVG 内容、属性或样式的应用程序可导致远程代码执行。
    (CVE-2026-94545)

要利用此问题，还需要应用程序使用 next/og 的 Node.js ImageResponse 实现，并将攻击者控制的值传递到 SVG 内容、属性或样式中。使用 Edge ImageResponse 实现的应用程序不受影响。Nessus 无法验证应用程序如何调用 ImageResponse，因此将此发现报告为潜在漏洞。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Next.js 框架 16.2.x / 16.3.x < 16.3.6 RCE

medium Nessus 插件 ID 362680

版本 1.1