Vercel corrigió una vulnerabilidad crítica en Next.js (versiones 16.2.0 a 16.3.5) que permitía ejecutar código en el servidor a través de ImageResponse. El fallo ocurre cuando se insertan valores controlados por el usuario en el contenido SVG de imágenes sociales. Se recomienda actualizar inmediatamente a la versión 16.3.6 para solucionar este riesgo.

Una nueva vulnerabilidad de seguridad en Next.js podría permitir a los atacantes ejecutar código en un servidor a través de ImageResponse, la función que genera imágenes de vista previa social y de Open Graph, según informó Vercel.

El riesgo ocurre cuando una aplicación coloca valores controlados por un atacante, como texto leído desde la URL de la solicitud, dentro de la imagen. Vercel, desarrolladora de Next.js, corrigió el fallo el 22 de septiembre en la versión 16.3.6 .

El fallo, rastreado como CVE-2026-94545, afecta a Next.js desde la versión 16.2.0 hasta la 16.3.5 cuando ImageResponse se ejecuta en el entorno de ejecución de Node.js, que es el que Next.js usa por defecto . El aviso de Vercel lo califica como crítico, con una puntuación CVSS de 9.5. La versión Edge de ImageResponse no se ve afectada, y tampoco Next.js 15.

ImageResponse utiliza Satori, una librería de Vercel, para convertir el diseño de la imagen en código SVG antes de generar el PNG final. Las aplicaciones afectadas son aquellas que "pasan valores controlados por el atacante al contenido, atributos o estilos SVG durante la generación de la imagen", según el aviso.

El ejemplo del aviso toma un valor de la URL de la solicitud y lo coloca dentro de un elemento de título SVG. No especifica si el texto en elementos ordinarios, como un encabezado dentro de un div, también cuenta.

Para encontrar dónde usa tu aplicación esta función, busca ImageResponse importado desde next/og, por ejemplo en los manejadores de rutas y en los archivos opengraph-image. Los manejadores de rutas crean la imagen cuando llega una solicitud. Un archivo opengraph-image puede crearla en el momento de la compilación o cuando llega una solicitud.

Hasta el 23 de septiembre, no se han encontrado informes públicos de ataques que utilicen este fallo ni código de explotación público.

La solución es Next.js 16.3.6, la única versión parcheada, que se instala con npm install next@16.3.6. Hasta el 23 de septiembre, el registro de npm no enumeraba ninguna versión corregida para la línea 16.2, por lo que si estás en la 16.2 necesitas moverte a la 16.3.6. Next.js 15.5.26 añade un refuerzo de seguridad extra para next/og en la línea 15.5.

Si tienes que esperar para actualizar, la solución temporal del aviso es mantener los valores controlados por el atacante fuera del contenido, atributos y estilos SVG que renderiza ImageResponse en Node.js. El aviso no sugiere cambiar a la versión Edge no afectada, y la documentación de Next.js marca el entorno de ejecución Edge como obsoleto.

En comprobaciones realizadas el 23 de septiembre, npm audit no señaló Next.js 16.3.5, que es una versión afectada. El aviso tampoco aparecía todavía en la base de datos de avisos de GitHub, y no se había publicado ningún registro de CVE para CVE-2026-94545.

Comprueba la versión de Next.js directamente. Satori viene incluido dentro del paquete de Next.js, por lo que un archivo de bloqueo (lockfile) no lo enumera como una dependencia de Next.js.

El aviso y el anuncio de Vercel no indican si las aplicaciones alojadas en Vercel están protegidas. Para dos fallos críticos de Next.js corregidos en agosto, la empresa dijo que las aplicaciones alojadas estaban protegidas y no necesitaban actualización.

El aviso y el anuncio de Vercel tampoco ofrecen ninguna forma de comprobar si una ruta afectada fue abusada antes del parche. Las versiones afectadas han estado disponibles desde que se lanzó Next.js 16.2 el 18 de marzo.

El error en sí está en Satori. El propio aviso de Satori , publicado el mismo día, indica que ciertos valores llegaban a su salida SVG sin ser escapados correctamente. Un valor especialmente diseñado podría entonces ser leído como código SVG en lugar de texto plano.

En Next.js, tales valores podrían alcanzar vulnerabilidades en otras librerías de las que Next.js depende y provocar la ejecución de código, afirmó Vercel. No ha nombrado dichas librerías.

El aviso de Satori califica el mismo CVE como moderado, con una puntuación de 5.3, y dice que el impacto depende de cómo se utilice la salida SVG. Si utilizas Satori directamente, debes actualizarlo a la versión 0.33.5, que ya contiene la corrección.

Fuente:
THN