一、漏洞概要

二、漏洞分析

2.1 组件介绍

Next.js 是一个基于 React 的开源框架，旨在为开发者提供构建高性能、可扩展的 Web 应用程序的工具

2.2 漏洞描述

2026年9月30日，深瞳漏洞实验室监测到一则NextJS组件存在代码执行漏洞的信息，漏洞编号：CVE-2026-94545，漏洞威胁等级：高危。

Next.js 生成 OG 图时，先由内置的 Satori 库将 JSX 转写为 SVG，再交由 sharp 及其底层原生库（libvips/librsvg/libxml2）渲染为 PNG 图片。转写环节对用户可控文本缺少输出转义，攻击者可借此将构造的 XML 标记注入 SVG；渲染过程中这些标记被原生库解析，借助 DTD 实体与 XInclude 机制触发内存破坏，最终在 Node 服务进程中执行任意命令。

三、影响范围

目前受影响的NextJS版本：

16.2.0<=Next.js<16.3.6

0.0.27<=Satori<0.33.5

官方修复建议

官方已发布修复补丁，建议升级至修复后的版本。