La falla crítica de NEXT.JS permite ataques RCE a través de un archivo SVG armado

Una vulnerabilidad crítica de Next.js, rastreada como CVE-2026-94545, afecta a la implementación de Node.js ImageResponse en el paquete next/og y podría permitir la ejecución remota de código explotando contenido SVG malicioso durante la generación de imágenes. La vulnerabilidad existe en la implementación de Node.js ImageResponse utilizada para crear dinámicamente imágenes de Open Graph, imágenes de vista previa de redes sociales y otros gráficos generados por el servidor.

NEXT.JS Error de ejecución remota de código En este tipo de implementación, un actor de amenazas podría enviar entradas relacionadas con SVG especialmente diseñadas que lleguen al proceso de renderizado vulnerable. La exploit exitosa puede resultar en la ejecución remota de código en el servidor que maneja la solicitud de generación de imágenes. Un entorno de generación de imágenes Next.js comprometido podría exponer datos confidenciales del lado del servidor, permitir la modificación del contenido alojado, interrumpir los servicios o dar a los atacantes un punto de apoyo inicial para nuevos ataques. El impacto real dependerá de cómo se aloje la aplicación Next.js, sus permisos y si el proceso de generación de imágenes puede acceder a secretos, credenciales en la nube, servicios internos o infraestructura de implementación.

Cuando no sea posible aplicar parches inmediatos, los desarrolladores deben dejar de pasar entradas controladas por el usuario al contenido, atributos y estilos SVG procesados por la implementación de ImageResponse de Node.js. Los usuarios de Next.js deben tratar este problema como un parche prioritario porque los puntos finales de generación de imágenes orientadas a Internet pueden ser fáciles de descubrir e investigar para los atacantes.

Consultar publicación original ↗