Критическая уязвимость CVE-2026-94545 в Next.js next/og и Satori

В генераторе OG-изображений Next.js next/og и библиотеке Satori нашли критическую уязвимость CWE-116 с оценкой CVSS 9.5: неэкранированные символы в SVG позволяют внедрить произвольные теги и добиться SSRF или RCE. Исправлено в Next.js 16.3.6 и Satori 0.33.5; Edge-рантайм и Next.js 15 не затронуты.

• Уязвимость затрагивает Next.js 16.2.0–16.3.5 и Satori 0.0.27–0.33.4
• CVSS 9.5 (Critical), в рекомендации Satori указано до 9.8
• Атака возможна без аутентификации через публичный OG-эндпоинт
• Исправления вышли в Next.js 16.3.6 и Satori 0.33.5