Next.js Security Update for a Critical Upstream Issue
TL;DR · AI 摘要
Next.js 发布紧急安全更新，修复可能导致远程代码执行的上游依赖漏洞，建议立即升级到 v16.3.6 或 v15.5.26。
核心要点
- Next.js 16.2.0 至 16.3.6 版本存在远程代码执行漏洞（GHSA-vcvr-r3jv-pc5j）。
- 升级至 v16.3.6 或 v15.5.26 可修复该漏洞。
- Edge ImageResponse 实现不受此漏洞影响。
结构提纲
按章节快速跳转。
思维导图
用一张图看清主题之间的关系。
查看大纲文本（无障碍 / 无 JS 友好）
- Next.js 安全更新
- 漏洞详情
- SVG 转义缺陷导致 RCE
- GHSA-vcvr-r3jv-pc5j 漏洞编号
- 修复方案
- 升级至 v16.3.6
- 升级至 v15.5.26
- 安全计划
- Vercel 开源漏洞赏金计划
金句 / Highlights
值得收藏与分享的关键句。
Next.js 16.2.0 至 16.3.6 版本存在远程代码执行漏洞（GHSA-vcvr-r3jv-pc5j）
升级至 v16.3.6 或 v15.5.26 可修复该漏洞
Edge ImageResponse 实现不受此漏洞影响
Next.js 关于关键上游问题的安全更新 | Next.js
返回博客
2026年9月22日，星期二
安全
Next.js 关于关键上游问题的安全更新
作者：
Josh Story
@joshcstory
Karim Rahal
karimpwnz
Sebastian Silbermann
sebsilbermann
现在已发布带外安全更新，版本 v16.3.6（Active LTS）和 v15.5.26（Maintenance LTS）包含此更新。这些版本升级了上游依赖项（包括 Satori），以解决可能导致受影响 Next.js 版本出现远程代码执行的问题。版本 15.5.26 包含相关强化措施，但 Next.js 15.x 不受远程代码执行问题影响。
请升级您的 Next.js 依赖项以确保应用安全。
终端
npm
install
[email protected]
# 适用于 16.3
npm
install
[email protected]
# 适用于 15.5（仅强化措施）影响范围
Node.js ImageResponse 中的远程代码执行（严重程度：关键）
GHSA-vcvr-r3jv-pc5j（Next.js）
相关上游公告：GHSA-wx4j-mvgx-mqwp（Satori）
受影响版本：Next.js >=16.2.0 <16.3.6
该问题影响 next/og 中 Node.js ImageResponse 的实现。在特定条件下，由于 Satori 生成的 SVG 输出转义不当，结合其他上游依赖项的漏洞可能导致远程代码执行。修复方案升级了这些依赖项。
使用 Edge ImageResponse 实现的应用程序不受影响。
我们的安全部署计划
我们与一群才华横溢的研究人员合作，通过 Vercel 的开源漏洞赏金计划保障 Next.js 及其他开源框架的安全。任何希望为符合资格的框架安全做贡献的人，我们都鼓励参与该计划。
有关我们的安全计划或漏洞管理的任何问题或疑虑，请发送至 [email protected]。