Vercel Next.js ImageResponse-тағы серверде код орындауға мүмкіндік берген сыни осалдықты түзетті
Материал бірнеше дереккөз негізінде жасанды интеллектпен дайындалды — түпнұсқаларға сілтемелер төменде.
22 қыркүйекте Vercel Next.js 16.3.6 нұсқасын шығарып, ImageResponse функциясындағы арнайы жасалған SVG арқылы серверде код орындауға мүмкіндік беретін сыни осалдықты түзетті. CVE-2026-94545 идентификаторын алған осалдық әдепкі бойынша қолданылатын Node.js ортасында жұмыс істейтін ImageResponse кезінде Next.js 16.2.0-ден 16.3.5-ке дейінгі нұсқаларға әсер етеді. 23 қыркүйектегі жағдай бойынша жария эксплойттар немесе шабуылдар тіркелген жоқ.
Негізгі фактілер
- CVE-2026-94545 әдепкі бойынша қолданылатын Node.js ортасында ImageResponse жұмыс істеген кезде Next.js 16.2.0-ден 16.3.5-ке дейінгі нұсқаларға әсер етеді.
- Vercel осалдықты CVSS 9,5 бағасымен сыни деп бағалайды.
- Түзету 22 қыркүйекте Next.js 16.3.6 нұсқасында шығарылды, бұл жалғыз патчталған нұсқа.
- ImageResponse-тың Edge нұсқасы мен Next.js 15 осалдыққа ұшырамайды.
- 23 қыркүйектегі жағдай бойынша осалдықты пайдаланған жария эксплойттар немесе шабуылдар туралы хабарламалар табылған жоқ.
Осалдық мәліметтері
Осалдық ImageResponse — әлеуметтік алдын ала қарау үшін Open Graph және басқа кескіндерді жасайтын Next.js функциясында орналасқан. ImageResponse соңғы PNG жасамас бұрын кескін макетін SVG кодына түрлендіру үшін Vercel-дің Satori кітапханасын пайдаланады. Vercel ұсынысына сәйкес, кескін жасау кезінде шабуылдаушы басқаратын мәндерді SVG мазмұнына, атрибуттарына немесе стильдеріне беретін қосымшалар осал болып табылады. Ұсыныстағы мысалда мән сұраныс URL-інен алынып, SVG ішіндегі title элементіне орналастырылады. Ұсыныста қарапайым элементтердегі мәтін, мысалы div ішіндегі тақырып, осал деп есептелетіні көрсетілмеген.
Әсер еткен нұсқалар және түзету
Осалдық Next.js әдепкі бойынша қолданатын Node.js ортасында ImageResponse жұмыс істеген кезде 16.2.0-ден 16.3.5-ке дейінгі нұсқаларға әсер етеді. Vercel осалдықты 22 қыркүйекте 16.3.6 нұсқасында түзетті, бұл жалғыз патчталған релиз. 23 қыркүйектегі жағдай бойынша npm реестрінде 16.2 тармағы үшін түзетілген релиз болмады, сондықтан 16.2-дегі қосымшалар 16.3.6-ға жаңартылуы қажет. Next.js 15.5.26 15.5 тармағында next/og үшін қосымша қауіпсіздік күшейтуін қосады. ImageResponse-тың Edge нұсқасы осалдыққа ұшырамайды, Next.js 15 сияқты.
Анықтау және айналып өту жолдары
Қосымшаның бұл функцияны қайда пайдаланатынын табу үшін әзірлеушілер next/og-тен ImageResponse импортын іздеуі керек, мысалы маршрут өңдегіштерінде және opengraph-image файлдарында. Маршрут өңдегіштері сұраныс келгенде кескінді жасайды, ал opengraph-image файлы оны құрастыру кезінде немесе сұраныс бойынша жасай алады. Жаңартуды кейінге қалдыру қажет болса, Vercel ұсынысы шабуылдаушы басқаратын мәндердің Node.js ImageResponse рендерлейтін SVG мазмұнына, атрибуттарына және стильдеріне түсуіне жол бермеуге кеңес береді. Ұсыныста осалдыққа ұшырамайтын Edge нұсқасына көшу ұсынылмайды, ал Next.js құжаттамасы Edge ортасын ескірген деп белгілейді. 23 қыркүйектегі жағдай бойынша npm audit осал нұсқа Next.js 16.3.5-ті белгілемеді, ал ұсыныс әлі GitHub Advisory Database-ке енгізілмеген.
1 дереккөз
Уақыт · артта қалуы