Next.js 16.3.6 zatvara kritičnu ranjivost izvršavanja koda na daljinu

Next.js je 22. septembra 2026. objavio vanredno bezbjednosno izdanje, a prijava je dovoljno kratka da se po njoj postupi za minut. Aplikacija na bilo kojoj verziji od 16.2.0 do 16.3.6, koja slike pravi kroz implementaciju ImageResponse za Node.js u modulu next/og, izložena je izvršavanju koda na daljinu. Ispravljena izdanja su 16.3.6 za liniju Active LTS i 15.5.26 za liniju Maintenance LTS.

Gdje je ranjivost

Greška nije u kodu koji je neko u projektu Next.js napisao rukom. ImageResponse pravi slike za društvene mreže tako što kroz biblioteku Satori gradi SVG, a taj SVG izlaz se pod određenim uslovima nepravilno izbjegavao. U sprezi s ranjivostima u drugim uzvodnim zavisnostima, to nepravilno izbjegavanje može dovesti do izvršavanja koda na daljinu. Ispravka nadograđuje te zavisnosti umjesto da mijenja samu mogućnost.

Dvije granice sužavaju domet, i obje treba provjeriti prije uzbune. Aplikacije koje koriste Edge implementaciju za ImageResponse nisu pogođene, jer je pogođen put kroz Node.js. Ni Next.js 15.x nema ranjivost izvršavanja koda na daljinu; izdanje 15.5.26 postoji zbog srodnih ojačanja, a ne zbog zatvaranja ove ranjivosti.

• Pogođeno: verzije veće ili jednake 16.2.0 i niže od 16.3.6.
• Prijava za Next.js: GHSA-vcvr-r3jv-pc5j.
• Uzvodna prijava za Satori: GHSA-wx4j-mvgx-mqwp.
• Nije pogođeno: Edge implementacija za ImageResponse i Next.js 15.x.

Šta treba pokrenuti

Instaliranje paketa next@16.3.6 na liniji 16.3, odnosno next@15.5.26 na liniji 15.5, čitava je mjera. Pošto ispravka živi u posrednim zavisnostima, datoteku s fiksiranim verzijama treba pogledati još jednom poslije nadogradnje: sama verzija Next.js-a ne dokazuje da je ispravljen Satori zaista sjeo u stablo zavisnosti.

Objavu potpisuju Josh Story, Karim Rahal i Sebastian Silbermann, a Vercel ovu vrstu prijava prima kroz svoj program nagrada za greške u projektima otvorenog koda. Ovo je drugi bezbjednosni događaj u projektu Next.js istog dana, pošto je ekipa ranije najavila da vanredno izdanje dolazi. Ova objava je ona koja donosi brojeve verzija.