Anmelden
Deutsch English Español Polski
Kritisch

Next.js: Remote Code Execution in next/og ImageResponse

  • Veröffentlicht: 30.09.2026
  • Aktualisiert: 11.10.2026 10:22

Impact

The Node.js ImageResponse implementation from next/og is affected by an upstream vulnerability. This can lead to remote code execution.

Affected applications pass attacker-controlled values into SVG content, attributes, or styles during image generation:

tsx
import { ImageResponse } from 'next/og'

export async function GET(request: Request) {
  const value = new URL(request.url).searchParams.get('value') ?? ''

  return new ImageResponse(
    <svg width="1200" height="630">
      <title>{value}</title>
    </svg>
  )
}

Applications using the Edge ImageResponse implementation, or applications that do not pass attacker-controlled values into SVG content, attributes, or styles, are not affected.

Workaround

If upgrading is not immediately possible, do not pass attacker-controlled values into SVG content, attributes, or styles rendered by the Node.js ImageResponse implementation from next/og.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
npm-Paket next >= 16.2.0, < 16.3.6 16.3.6

Verweise

CVSS-Wert -
CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Schwäche (CWE)
CWE-1395
Plattform
npm
Paket
next
Veröffentlicht
30.09.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-vcvr-r3jv-pc5j - CC BY 4.0

Schwachstellenhistorie: next

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (73) im Archiv
Einträge insgesamt
73
Erste → letzte
12.2017 10.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 5
  • Hoch 27
  • Mittel 32
  • Niedrig 9

Veröffentlichungen pro Jahr

Schweregrad:
  1. Next.js has Server-Side Request Forgery in Image Optimization
    Hoch · 6.5 CVE-2026-94483 >= 16.0.0, < 16.3.8 16.3.8
  2. Next.js: Remote Code Execution in next/og ImageResponse dieser Eintrag
    Kritisch ghsa-vcvr-r3jv-pc5j >= 16.2.0, < 16.3.6 16.3.6
  3. Next.js: Unauthenticated Remote Code Execution in Image Optimization API when AVIF files are used
    Kritisch ghsa-2xp9-vwfh-vxw4 >= 10.0.0, < 15.5.24, >= 16.0.0, < 16.3.3 15.5.24, 16.3.3
  4. Next.js: Unauthenticated Remote Code Execution on windows-hosted servers
    Kritisch · 9.0 CVE-2026-75604 >= 13.4.0, < 15.5.24, >= 16.0.0, < 16.3.3 15.5.24, 16.3.3
  5. Next.js: Server-Side Request Forgery in Server Actions on custom servers
    Hoch CVE-2026-64649 >= 14.1.1, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  6. Next.js: Server-Side Request Forgery in rewrites via attacker-controlled destination hostname
    Hoch CVE-2026-64645 >= 12.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  7. Next.js: Middleware / Proxy bypass in App Router applications using Turbopack and single locale
    Hoch CVE-2026-64642 >= 16.0.0, < 16.2.11 16.2.11
  8. Next.js: Denial of Service in App Router using Server Actions
    Hoch CVE-2026-64641 >= 13.0.0, < 15.5.21, >= 16.0.0, < 16.2.11 15.5.21, 16.2.11
  9. Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes - Incomplete Fix Follow-Up
    Hoch · 7.5 CVE-2026-45109 >= 15.2.0, < 15.5.18, >= 16.0.0, < 16.2.6 15.5.18, 16.2.6
  10. Next.js vulnerable to Denial of Service via connection exhaustion in applications using Cache Components
    Hoch · 7.5 CVE-2026-44579 >= 15.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  11. Next.js vulnerable to server-side request forgery in applications using WebSocket upgrades
    Hoch · 8.6 CVE-2026-44578 >= 13.4.13, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  12. Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes
    Hoch · 7.5 CVE-2026-44575 >= 15.2.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  13. Next.js has a Middleware / Proxy bypass through dynamic route parameter injection
    Hoch · 8.1 CVE-2026-44574 >= 15.4.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  14. Next.js has a Middleware / Proxy bypass in Pages Router applications using i18n
    Hoch · 7.5 CVE-2026-44573 >= 12.2.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  15. Next.js Vulnerable to Denial of Service with Server Components
    Hoch · 7.5 ghsa-8h8q-6873-q5fj >= 13.0.0, < 15.5.16, >= 16.0.0, < 16.2.5 15.5.16, 16.2.5
  16. Next.js has a Denial of Service with Server Components
    Hoch · 7.5 ghsa-q4gf-8mx6-v5v3 >= 13.0.0, < 15.5.15, >= 16.0.0-beta.0, < 16.2.3 15.5.15, 16.2.3
  17. Next.js HTTP request deserialization can lead to DoS when using insecure React Server Components
    Hoch · 7.5 ghsa-h25m-26qc-wcjf >= 13.0.0, < 15.0.8, >= 15.1.1-canary.0, < 15.1.12, >= 15.2.0-canary.0, < 15.2.9, >= 15.3.0-canary.0, < 15.3.9, >= 15.4.0-canary.0, < 15.4.11, >= 15.5.1-canary.0, < 15.5.10, >= 15.6.0-canary.0, < 15.6.0-canary.61, >= 16.0.0-beta.0, < 16.0.11, >= 16.1.0-canary.0, < 16.1.5 15.0.8, 15.1.12, 15.2.9, 15.3.9, 15.4.11, 15.5.10, 15.6.0-canary.61, 16.0.11, 16.1.5
  18. Next has a Denial of Service with Server Components - Incomplete Fix Follow-Up
    Hoch · 7.5 ghsa-5j59-xgg2-r9c4 >= 13.3.1-canary.0, < 14.2.35, >= 15.0.6, < 15.0.7, >= 15.1.10, < 15.1.11, >= 15.2.7, < 15.2.8, >= 15.3.7, < 15.3.8, >= 15.4.9, < 15.4.10, >= 15.5.8, < 15.5.9, >= 15.6.0-canary.59, < 15.6.0-canary.60, >= 16.0.9, < 16.0.10, >= 16.1.0-canary.17, < 16.1.0-canary.19 14.2.35, 15.0.7, 15.1.11, 15.2.8, 15.3.8, 15.4.10, 15.5.9, 15.6.0-canary.60, 16.0.10, 16.1.0-canary.19
  19. Next Vulnerable to Denial of Service with Server Components
    Hoch · 7.5 ghsa-mwv6-3258-q52c >= 13.3.0, < 14.2.34, >= 15.0.0-canary.0, < 15.0.6, >= 15.1.1-canary.0, < 15.1.10, >= 15.2.0-canary.0, < 15.2.7, >= 15.3.0-canary.0, < 15.3.7, >= 15.4.0-canary.0, < 15.4.9, >= 15.5.1-canary.0, < 15.5.8, >= 15.6.0-canary.0, < 15.6.0-canary.59, >= 16.0.0-beta.0, < 16.0.9, >= 16.1.0-canary.0, < 16.1.0-canary.17 14.2.34, 15.0.6, 15.1.10, 15.2.7, 15.3.7, 15.4.9, 15.5.8, 15.6.0-canary.59, 16.0.9, 16.1.0-canary.17
  20. Next.js is vulnerable to RCE in React flight protocol
    Kritisch · 10.0 ghsa-9qr9-h5gf-34mp >= 14.3.0-canary.77, < 15.0.5, >= 15.1.0-canary.0, < 15.1.9, >= 15.2.0-canary.0, < 15.2.6, >= 15.3.0-canary.0, < 15.3.6, >= 15.4.0-canary.0, < 15.4.8, >= 15.5.0-canary.0, < 15.5.7, >= 16.0.0-canary.0, < 16.0.7 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7
Mehr anzeigen (12) 20 von 32 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.