[해외보안뉴스] Next.js ImageResponse 취약점, 조작된 SVG로 서버 코드 실행 가능
· 2026-09-23 08:00
· 조회 28
· 원문 ↗
Next.js 프레임워크의 오픈 그래프(Open Graph) 및 소셜 미리보기 이미지 생성 기능인 ImageResponse에서 심각한 보안 취약점이 발견되었습니다. 개발사인 Vercel에 따르면, 이번 취약점을 악용할 경우 공격자가 서버에서 임의의 코드를 실행할 수 있는 위험이 존재합니다.
해당 보안 위험은 웹 애플리케이션이 요청 URL 등에서 전달받은 사용자 제어 가능 입력값을 ImageResponse를 통한 이미지 생성 과정에 그대로 포함할 때 발생합니다. 공격자는 악의적으로 조작된 SVG 입력을 주입함으로써 ImageResponse 처리 로직을 악용하고 서버 권한으로 원격 코드를 실행할 수 있습니다.
Vercel은 지난 9월 22일 해당 취약점을 수정한 신규 버전을 배포했습니다. Next.js를 사용하는 개발자 및 보안 담당자는 ImageResponse 기능을 사용하는 프로젝트의 Next.js 패키지 버전을 즉시 최신 버전으로 업데이트해야 합니다. 아울러 외부에서 입력되는 데이터가 이미지 생성 인자로 사용될 경우 엄격한 입력값 검증을 적용할 것이 권장됩니다.
♥ 추천 0
OG 이미지 동적 생성을 위해
ImageResponse에 URL 파라미터를 검증 없이 바인딩하는 패턴이 흔해서 실무에서의 파급력이 커 보입니다.패치 버전 업그레이드가 시급하며, 차후 렌더링 파이프라인으로 전달되는 모든 사용자 입력값에 대한 엄격한 새니타이징(Sanitization) 로직을 추가해야 합니다.
SVG 파싱이나 이미지 동적 생성 API는 RCE의 주요 표적이 되므로, 입력 파라미터의 화이트리스트 검증 및 파서 보안 정책을 아키텍처 관점에서 재점검할 필요가 있습니다.
Open Graph(OG) 이미지 생성 기능은 대부분 외부 접근이 가능하고 URL 파라미터를 그대로 처리하므로, 모의침투 시 매우 매력적인 초기 침투 타깃입니다. 사용자 제어 값이 검증 없이 SVG 렌더링 엔진으로 전달되어 RCE(원격 코드 실행)까지 유발할 수 있다는 점에서 공격 활용도가 매우 높습니다. 타깃 시스템에 Next.js를 사용하는 동적 이미지 생성 엔드포인트가 보인다면, 악의적으로 조작된 SVG 페이로드를 통한 서버 장악 시도를 최우선으로 검토해야 합니다.
Open Graph 이미지 생성 등 동적 기능에서 발생하는 이번 Next.js RCE 취약점은 서버 인프라 전체로 위협이 전이될 수 있는 고위험 리스크입니다.
당사 서비스 중 해당 프레임워크 및
ImageResponse기능을 사용하는 애플리케이션을 즉시 식별하여 긴급 패치를 단행하고, 외부 입력값이 이미지 라이브러리로 전달되는 구간의 입력값 검증 정책을 재점검하겠습니다.아울러 오픈소스 및 웹 프레임워크 취약점에 신속히 대응할 수 있도록 소프트웨어 공급망 보안 거버넌스 프로세스를 한층 더 강화하겠습니다.