Next.jsに脆弱性（GHSA-vcvr-r3jv-pc5j）
概要
Next.jsに脆弱性が確認されました。
バージョン 16.2.0 以上 16.3.6 未満に影響があります。
修正版 16.3.6 への更新が推奨されます。
脆弱性の基本情報
| 脆弱性ID | GHSA-vcvr-r3jv-pc5j |
|---|---|
| 脆弱性の種類 | CWE-1395 |
| 危険度 | 重大 |
| 公開日 | 2026年9月30日 |
| 更新日 | 2026年10月1日 |
影響を受ける製品
| 製品 | 影響を受けるバージョン | 修正版 | 出典 |
|---|---|---|---|
| Next.js |
16.2.0 以上 16.3.6 未満 | 16.3.6 | OSV.dev |
推奨対応
- Next.jsを修正版 16.3.6 またはそれ以降の公式最新版へ更新してください。
情報元の原文
OSV.dev
Next.js: Remote Code Execution in next/og ImageResponse
## Impact
The Node.js `ImageResponse` implementation from `next/og` is affected by an upstream vulnerability. This can lead to remote code execution.
Affected applications pass attacker-controlled values into SVG content, attributes, or styles during image generation:
```tsx
import { ImageResponse } from 'next/og'
export async function GET(request: Request) {
const value = new URL(request.url).searchParams.get('value') ?? ''
return new ImageResponse(
<svg width="1200" height="630">
<title>{value}</title>
</svg>
)
}
```
Applications using the Edge `ImageResponse` implementation, or applications that do not pass attacker-controlled values into SVG content, attributes, or styles, are not affected.
## Workaround
If upgrading is not immediately possible, do not pass attacker-controlled values into SVG content, attributes, or styles rendered by the Node.js `ImageResponse` implementation from `next/og`.
利用条件：CC BY 4.0
出典: GitHub Advisory Database（OSV.dev 経由で取得）。原文のまま掲載（改変なし）