CVE-2026-126187
KrytyczneCVSS 9.5Streszczenie
Pakiety react-server-dom-webpack, react-server-dom-parcel i react-server-dom-turbopack w wersjach od 19.0.0 do 19.0.9, 19.1.10, 19.2.9 i 19.3.1 są podatne na nieuwierzytelnione zdalne wykonanie kodu poprzez spreparowane dane wejściowe wymierzone w frameworki obsługujące React Server Components. Podatność dotyczy wyłącznie rzadkich przypadków, gdy odpowiedzi transportują wiele tablic typowanych wraz z wartością kontrolowaną przez atakującego; aplikacje bez kodu serwerowego lub bez frameworku/bundlera obsługującego React Server Components nie są zagrożone.
Ocena ryzyka
Aplikacje korzystające z React Server Components mogą umożliwić nieuwierzytelnionemu atakującemu zdalne wykonanie kodu, co może skutkować przejęciem serwera aplikacji.
Rekomendacja
Zaktualizuj wymienione pakiety do wersji 19.0.9, 19.1.10, 19.2.9 lub 19.3.1 i zweryfikuj, czy aplikacja rzeczywiście korzysta z React Server Components.
Inne podatności w React Server Components
Zobacz wszystkie- CVE-2025-67779Wysokie
Podatność w React Server Components w wersjach 19.0.2, 19.1.3 i 19.2.2 jest niekompletnym naprawieniem CVE-2025-55184 i nadal umożliwia niebezpieczną deserializację danych z żądań HTTP do punktów końcowych funkcji serwera, co może powodować nieskończoną pętlę i zawieszenie procesu serwera.
- CVE-2025-55184Wysokie
Podatność przed uwierzytelnieniem w React Server Components w wersjach 19.0.0, 19.0.1, 19.1.0, 19.1.1, 19.1.2, 19.2.0 i 19.2.1, w pakietach react-server-dom-parcel, react-server-dom-turbopack i react-server-dom-webpack, umożliwia niebezpieczną deserializację danych z żądań HTTP do punktów końcowych funkcji serwera, co może powodować nieskończoną pętlę i zawieszenie procesu serwera.
- CVE-2025-55183Średnie
Podatność na wyciek informacji występuje w określonych konfiguracjach React Server Components w wersjach 19.0.0, 19.0.1, 19.1.0, 19.1.1, 19.1.2, 19.2.0 i 19.2.1, w pakietach react-server-dom-parcel, react-server-dom-turbopack oraz react-server-dom-webpack. Specjalnie spreparowane żądanie HTTP wysłane do podatnej funkcji serwerowej może niebezpiecznie zwrócić kod źródłowy dowolnej funkcji serwerowej.
- CVE-2025-55182KrytyczneAktywnie exploitowane
Podatność umożliwiająca zdalne wykonanie kodu przed uwierzytelnieniem w React Server Components w wersjach 19.0.0, 19.1.0, 19.1.1 i 19.2.0, obejmująca pakiety react-server-dom-parcel, react-server-dom-turbopack i react-server-dom-webpack. Wrażliwy kod niebezpiecznie deserializuje dane z żądań HTTP do punktów końcowych funkcji serwera.
- CVE-2026-23869Wysokie
Podatność na odmowę usługi (DoS) w komponentach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) w wersjach 19.0.0-19.0.4, 19.1.0-19.1.5 i 19.2.0-19.2.4. Specjalnie spreparowane żądania HTTP do endpointów funkcji serwera powodują nadmierne zużycie CPU przez około minutę, kończąc się możliwym do przechwycenia błędem.
- CVE-2026-23864Wysokie
W pakietach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) wykryto wiele podatności typu odmowa usługi (DoS). Specjalnie spreparowane żądania HTTP do punktów końcowych Server Function mogą powodować awarie serwera, wyjątki braku pamięci lub nadmierne zużycie CPU.
Oryginalny opis (angielski, źródło NVD)
React is a JavaScript library for building user interfaces. From 19.0.0 until 19.0.9, 19.1.10, 19.2.9, and 19.3.1, the react-server-dom-webpack, react-server-dom-parcel, and react-server-dom-turbopack packages are vulnerable to unauthenticated remote code execution through crafted payloads targeting frameworks that support React Server Components. The vulnerability only affects extremely rare cases where responses transport multiple typed arrays and an attacker-controlled value. Applications whose React code does not use a server are not affected. Applications that do not use a framework, bundler, or bundler plugin that supports React Server Components are not affected. This issue is fixed in versions 19.0.9, 19.1.10, 19.2.9, and 19.3.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS