Vercel 在 9 月 22 日发布了 Next.js 16.3.6，只修一件事：next/og 的 ImageResponse 在 Node.js 运行时下的远程代码执行漏洞（CVE-2026-94545，CVSS 9.5）。只有把外部可控的值塞进 SVG 内容、属性或样式的路由才真正暴露，但 npm audit 和 GitHub Advisory Database 到 9 月 23 日都还查不到它，所以别等扫描器变红：直接 `npm ls next` 对照版本，命中就升级，16.3.6 里没有别的东西。