「Next.js」の画像生成モジュールにRCEにつながる脆弱性

「Next.js」の画像生成モジュール「ImageResponse」の「Node.js実装」に脆弱性が明らかとなった。修正版が提供されている。

リモートからコードを実行されるおそれがある脆弱性「CVE-2026-94545」が明らかとなったもの。

上流の脆弱性による影響で、攻撃者が制御可能な値がSVGのコンテンツ、属性、スタイルにわたされ、画像が生成されると、リモートからのコード実行につながるおそれがある。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.5」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

開発チームは「Next.js 16.3.6」にて脆弱性を修正。すぐにアップデートできない場合は、回避策を講じるよう求めている。

（Security NEXT - 2026/09/25 ）ツイート