La vulnerabilidad de implementación de ImageResponse en Node.js permite la ejecución remota de código

Una vulnerabilidad crítica en Next.js podría permitir la ejecución remota de código en aplicaciones que utilizan la implementación Node.js de ImageResponse del paquete next/og. La imperfección existe cuando una aplicación pasa una entrada controlada por un atacante al contenido SVG, los atributos SVG o las propiedades de estilo durante la generación dinámica de imágenes.

Si el valor no se maneja de forma segura, una payload especialmente diseñada puede llegar al proceso de representación de imágenes subyacente y conducir a la ejecución remota de código. Vulnerabilidad de ImageResponse en Node.js El aviso de GitHub (GHSA-vcvr-r3jv-pc5j) establece que el riesgo se limita a la implementación de Node.js de Next/og ImageResponse. La falla Satori aguas arriba, identificada como CVE-2026-94545 y GHSA-wx4j-mvgx-mqwp, afecta a las versiones de 0.0.27 a 0.33.4 y fue parcheada en la versión 0.33.5. Los equipos que no puedan actualizar inmediatamente deben asegurarse de que ningún dato controlado por atacantes llegue al contenido SVG, los atributos o los estilos CSS generados a través de la implementación de ImageResponse de Node.js.

Dado el potencial de ejecución remota de código no autenticado, las implementaciones de Next.js afectadas deben tratar la actualización como una prioridad de parche urgente. Potencie su SOC con un contexto IoC instantáneo para una respuesta inmediata: integre la búsqueda de TI en su SOC La vulnerabilidad de implementación de ImageResponse post Node.js permite la ejecución remota de código apareció primero en Cyber Security News.

Consultar publicación original ↗