Satoris eigenes Advisory, am selben Tag veröffentlicht, beschreibt die Ursache: Bestimmte Werte gelangten ohne korrektes Escaping in die SVG-Ausgabe. Ein speziell präparierter Wert kann dadurch als SVG-Code statt als reiner Text interpretiert werden. In Next.js könnten solche Werte laut Vercel Schwachstellen in weiteren Bibliotheken erreichen, von denen Next.js abhängt, und so zur Code-Ausführung führen. Welche Bibliotheken das sind, nennt das Unternehmen nicht.
Bemerkenswert ist die unterschiedliche Bewertung: Satori stuft dieselbe CVE lediglich als mittelschwer mit einem Wert von 5.3 ein und verweist darauf, dass die Auswirkung davon abhängt, wie die SVG-Ausgabe weiterverwendet wird. Wer Satori direkt einsetzt, sollte auf Version 0.33.5 aktualisieren, die den Fix enthält.
Das Beispiel im Advisory übernimmt einen Wert aus der angefragten URL und platziert ihn in einem SVG-title-Element. Ob auch Text in gewöhnlichen Elementen – etwa eine Überschrift innerhalb eines div – betroffen ist, bleibt offen.
Um betroffene Stellen zu finden, sollten Entwickler nach ImageResponse suchen, das aus next/og importiert wird, etwa in Route Handlern und in opengraph-image-Dateien. Route Handler erzeugen das Bild beim Eintreffen einer Anfrage; eine opengraph-image-Datei kann es zur Build-Zeit oder bei einer Anfrage erzeugen.
Als einzige gepatchte Ausgabe steht Next.js 16.3.6 bereit, installierbar über npm install next@16.3.6. Da die npm-Registry am 23. September keine korrigierte Veröffentlichung für die 16.2-Linie auswies, müssen Anwendungen auf 16.2 ebenfalls auf 16.3.6 wechseln. Für die 15.5-Linie bringt Next.js 15.5.26 zusätzliche Härtungsmaßnahmen für next/og.
Wer nicht sofort aktualisieren kann, soll dem Advisory zufolge von Angreifern kontrollierte Werte aus SVG-Inhalten, -Attributen und -Stilen heraushalten, die das Node.js-ImageResponse rendert. Ein Wechsel auf die nicht betroffene Edge-Variante wird nicht empfohlen – die Next.js-Dokumentation kennzeichnet die Edge-Laufzeitumgebung als veraltet.
Die Erkennung ist derzeit lückenhaft: Bei Prüfungen von The Hacker News am 23. September schlug npm audit bei der betroffenen Version 16.3.5 nicht an. Auch in der GitHub Advisory Database war das Advisory noch nicht gelistet, und ein CVE-Eintrag für CVE-2026-94545 war noch nicht veröffentlicht. Entwickler sollten die Next.js-Version daher direkt prüfen: Satori ist im Next.js-Paket gebündelt, taucht in einer Lockfile also nicht als Abhängigkeit von Next.js auf.
Offen bleibt zudem, ob auf Vercel gehostete Anwendungen geschützt sind – weder Advisory noch Ankündigung äußern sich dazu. Bei zwei kritischen Next.js-Lücken, die im August behoben wurden, hatte das Unternehmen noch erklärt, gehostete Anwendungen seien geschützt und benötigten kein Upgrade. Ebenso wenig nennen Advisory und Ankündigung einen Weg, um nachträglich zu prüfen, ob eine betroffene Route vor dem Patch missbraucht wurde. Verwundbare Versionen sind seit der Veröffentlichung von Next.js 16.2 am 18. März verfügbar.