GHSA-vcvr-r3jv-pc5j [重大] Next.js: next/og ImageResponseにおけるリモートコード実行の脆弱性。

next.js: next/og の ImageResponse におけるリモートコード実行の脆弱性

## 影響

`next/og` の Node.js `ImageResponse` 実装は、上位の脆弱性によって影響を受けています。これにより、リモートコードの実行が可能になる可能性があります。

影響を受けるアプリケーションでは、画像生成時に、攻撃者によって制御される値が SVG のコンテンツ、属性、またはスタイルに渡されます。

```tsx
import { ImageResponse } from 'next/og'

export async function GET(request: Request) {
const value = new URL(request.url).searchParams.get('value') ?? ''

return new ImageResponse(
<svg width="1200" height="630">
<title>{value}</title>
</svg>
)
}
```

Edge の `ImageResponse` 実装を使用しているアプリケーション、または攻撃者によって制御される値が SVG のコンテンツ、属性、またはスタイルに渡されないアプリケーションは、影響を受けません。

## 対策

バージョンアップがすぐにできない場合は、Node.js `ImageResponse` 実装（`next/og`）によってレンダリングされる SVG のコンテンツ、属性、またはスタイルに、攻撃者によって制御される値を渡さないでください。

影響を受けるパッケージ：
- npm (JavaScript) next: 影響あり >= 16.2.0, < 16.3.6、16.3.6 で修正済み。