Sebuah kerentanan keamanan berkategori kritis ditemukan pada framework Next.js, tepatnya pada fitur ImageResponse yang ada di paket next/og.
Celah ini berpotensi membuat peretas bisa menjalankan remote code execution/RCE pada server yang menjalankan aplikasi tersebut, bahkan tanpa perlu login atau interaksi dari korban sama sekali.
Mengingat Next.js adalah salah satu framework berbasis React yang paling banyak dipakai untuk membangun situs web modern, temuan ini wajib menjadi perhatian serius bagi para pengembang di seluruh dunia.
Apa Itu Kerentanan Next.js ImageResponse?
Kerentanan ini resmi tercatat dengan kode GHSA-vcvr-r3jv-pc5j dan CVE-2026-94545. Masalah muncul khusus pada implementasi Node.js dari ImageResponse, fitur yang biasa dipakai pengembang untuk membuat gambar Open Graph atau pratinjau media sosial secara otomatis saat halaman diakses. Celah ini menyasar versi Next.js 16.2.0 hingga 16.3.5, dan sudah diperbaiki lewat rilis versi 16.3.6.
Akar masalahnya ternyata bukan murni dari kode Next.js sendiri, melainkan dari Satori, pustaka pihak ketiga yang dipakai untuk menghasilkan output SVG di dalam ImageResponse.
Satori ditemukan tidak melakukan proses escaping atau penyaringan karakter dengan benar, sehingga data yang seharusnya hanya teks biasa justru bisa diperlakukan sebagai kode markup SVG oleh sistem.
Bagaimana Peretas Bisa Memanfaatkan Celah RCE Next.js ImageResponse
Skenario serangan terjadi ketika sebuah aplikasi mengambil data dari sumber yang tidak tepercaya, misalnya parameter URL, isi formulir, nama profil pengguna, atau konten dari CMS, lalu memasukkannya langsung ke dalam elemen SVG tanpa penyaringan yang memadai.
Jika penyerang mengirim payload yang sudah dirancang khusus, data tersebut bisa “lolos” dan dieksekusi sebagai perintah berbahaya di server.
GitHub menilai tingkat keparahan kerentanan ini sebagai kritis berdasarkan standar CVSS v4, dengan karakteristik serangan berbasis jaringan, tingkat kesulitan eksploitasi rendah, tanpa memerlukan hak akses khusus, dan tanpa perlu interaksi apa pun dari pengguna.
Kombinasi faktor ini membuat celah tersebut tergolong sangat berbahaya karena berpotensi dieksploitasi secara otomatis dan masif.
Siapa Saja yang Terdampak Celah RCE Next.js ImageResponse
Tidak semua pengguna Next.js otomatis berisiko. Aplikasi baru dikatakan rentan jika memenuhi dua syarat sekaligus yaitu:
- Menjalankan versi Next.js 16.2.0 sampai 16.3.5.
- Menggunakan implementasi ImageResponse berbasis Node.js, bukan Edge.
Pengembang yang memakai implementasi Edge pada ImageResponse dipastikan aman dari celah ini.
Salah satu penyedia layanan hosting, Netlify, turut mengonfirmasi bahwa dampak nyata bagi penggunanya bergantung pada apakah situs memasukkan input yang tidak tepercaya ke dalam gambar yang dihasilkan ImageResponse. Jika tidak, situs dinyatakan tidak terdampak.
Namun bagi yang terdampak, rute gambar Open Graph yang biasanya terbuka untuk publik menjadi titik masuk paling rawan karena sering memproses data dari pengunjung luar.
Langkah Mitigasi yang Direkomendasikan
Tim Next.js lewat laman resminya menegaskan bahwa solusi utama adalah segera memperbarui dependensi ke versi 16.3.6 untuk lini 16, sementara versi 15.5.26 dirilis sebagai langkah pengerasan tambahan meski lini 15.x dipastikan tidak terdampak masalah RCE ini. Proses pembaruan dapat dilakukan dengan menjalankan perintah instalasi npm seperti biasa.
Bagi tim yang belum bisa langsung melakukan pembaruan, langkah sementara yang disarankan adalah memastikan tidak ada data dari pengguna yang dimasukkan ke dalam konten, atribut, atau gaya SVG yang diproses oleh ImageResponse versi Node.js.
Validasi input saja dianggap belum cukup jika string yang tidak tepercaya masih berpotensi dibaca sebagai markup, sehingga audit menyeluruh terhadap setiap rute yang menggunakan ImageResponse tetap diperlukan.
Mengalihkan sementara rute yang rawan ke implementasi Edge juga bisa menjadi opsi, asalkan sudah diuji agar tidak mengganggu fungsi aplikasi.
Temuan celah RCE pada Next.js ImageResponse ini menjadi pengingat bahwa ketergantungan pada pustaka pihak ketiga seperti Satori tetap menyimpan risiko tersembunyi, sekalipun kerangka kerja utamanya sudah banyak dipercaya.
Pengembang yang menggunakan next/og untuk pembuatan gambar dinamis disarankan segera mengecek versi Next.js yang dipakai dan melakukan pembaruan tanpa menunda, mengingat potensi eksploitasi tanpa autentikasi ini tergolong ancaman prioritas tinggi.
- Cyber Security News, Node.js ImageResponse Implementation Vulnerability Enables Remote Code Execution.
- Next.js (Vercel), Next.js Security Update for a Critical Upstream Issue.
- Netlify, Security Update: Critical Next.js vulnerability in ImageResponse.
