Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración de un valor no escapado que entra en una imagen SVG generada.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

The Hacker News identifica CVE-2026-94545 en Next.js 16.2.0 a 16.3.5 cuando ImageResponse se ejecuta en Node.js y se incorporan valores controlados por un atacante al SVG.

El defecto técnico reside en Satori, la biblioteca que transforma el diseño de la imagen en SVG: determinados valores alcanzan la salida sin escapar adecuadamente y pueden interpretarse como código SVG.

Vercel indica que esos valores pueden llegar en Next.js a vulnerabilidades de otras bibliotecas dependientes y conducir a ejecución de código; no identifica dichas bibliotecas.

En una comprobación del 23 de septiembre, The Hacker News observó que npm audit no marcaba Next.js 16.3.5, pese a estar dentro del rango afectado.

La publicación señala que no había versión corregida en la rama 16.2 en npm el 23 de septiembre, por lo que las aplicaciones de esa rama debían pasar a 16.3.6.

Quienes usan Satori directamente deben actualizarlo a 0.33.5, la versión que incorpora la corrección de esa biblioteca.

A fecha del análisis de The Hacker News no había informes públicos de ataques ni código de explotación público para este fallo.

Análisis de Defensops

Esta ampliación precisa un punto que el aviso inicial dejaba genérico: el problema comienza al convertir valores no confiables en SVG mediante Satori. La posible ejecución de código en Next.js depende después de cómo ese SVG interactúe con otras dependencias, que Vercel no ha nombrado. Por eso conviene distinguir el mecanismo confirmado de la cadena completa de explotación aún no detallada públicamente.

El resultado de npm audit observado por el medio muestra un límite práctico de la detección basada solo en avisos automatizados. Un análisis sin alerta no demuestra que la aplicación esté fuera del rango vulnerable; hay que inspeccionar la versión efectiva y los puntos donde ImageResponse recibe datos de solicitudes. Satori está integrado en el paquete Next.js, por lo que su ausencia como dependencia separada en el lockfile tampoco descarta exposición.

La urgencia se concentra en rutas que generan imágenes en tiempo de solicitud y trasladan valores del usuario al contenido, atributos o estilos SVG. La publicación no confirma explotación real ni especifica si el texto de elementos ordinarios cumple siempre la condición, por lo que una revisión de flujo de datos es más útil que asumir afectación universal de cada uso de ImageResponse.

Prioridades de revisión

Comprobar directamente la versión Next.js realmente desplegada y localizar importaciones de ImageResponse desde next/og, incluidas rutas y archivos opengraph-image.

Trazar los valores que llegan desde URL u otras entradas controlables hasta contenido, atributos o estilos SVG generados por ImageResponse en Node.js.

Actualizar las aplicaciones afectadas a Next.js 16.3.6 y verificar la versión final del despliegue; para uso directo de Satori, comprobar la actualización a 0.33.5.

Si la actualización se retrasa, retirar de esa generación SVG los valores controlados por atacantes y validar que la imagen sigue generándose sin esas entradas.

Registrar cualquier ausencia de alerta de npm audit como limitación de esa comprobación y revisar el aviso del fabricante para nuevos detalles de explotación.

Qué no se ha confirmado

Vercel no ha identificado las bibliotecas adicionales que completarían la cadena de ejecución de código en Next.js.

El aviso citado no aclara si texto en elementos SVG ordinarios también satisface la condición vulnerable.

La información del medio no confirma ataques reales ni una forma de detectar abuso anterior al parche.

Fuente

The Hacker News. Fecha indicada: 2026-09-23.