遠端主機上的 Next.js Framework 受到遠端程式碼執行弱點影響：

  - next/og 的 Node.js ImageResponse 實作受到上游 Satori 弱點的影響。
    Satori 在將某些值包含在產生的 SVG 輸出中之前不會正確轉義某些值，這可能會允許將特製的值解釋為 SVG 標記。在影像產生期間，將攻擊者控制的值傳遞至 SVG 內容、屬性或樣式的應用程式可能會導致遠端程式碼執行。
    (CVE-2026-94545)

此外，利用還要求應用程式使用 next/og 的 Node.js ImageResponse 實作，並將攻擊者控制的值傳遞至 SVG 內容、屬性或樣式。使用 Edge ImageResponse 實作的應用程式不受影響。Nessus 無法驗證應用程式如何叫用 ImageResponse，因此此發現項目會報告為潛在弱點。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Next.js框架 16.2.x / 16.3.x < 16.3.6 RCE

medium Nessus Plugin ID 362680

版本 1.1