Next.js-Aufrüstung schließt RCE-Lücke im Bildgenerator: SVG-Einbettung macht jede ungeschützte App angreifbar 2. Oktober 2026