CVE-2026-23869
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 73 - wyżej niż 73% wszystkich znanych CVE
Streszczenie
Podatność na odmowę usługi (DoS) w komponentach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) w wersjach 19.0.0-19.0.4, 19.1.0-19.1.5 i 19.2.0-19.2.4. Specjalnie spreparowane żądania HTTP do endpointów funkcji serwera powodują nadmierne zużycie CPU przez około minutę, kończąc się możliwym do przechwycenia błędem.
Ocena ryzyka
Atakujący może przeciążyć serwer, powodując tymczasową niedostępność aplikacji dla użytkowników. Choć błąd jest przechwytywalny, wysoka liczba takich żądań może prowadzić do znacznego obciążenia zasobów.
Rekomendacja
Zaleca się natychmiastową aktualizację dotkniętych pakietów do wersji 19.0.5, 19.1.6 lub 19.2.5 (lub nowszych). Jako tymczasowe zabezpieczenie można ograniczyć dostęp do endpointów funkcji serwera lub zastosować reguły WAF blokujące podejrzane żądania.
Inne podatności w React Server Components
Zobacz wszystkie- CVE-2025-55182KrytyczneAktywnie exploitowane
Podatność umożliwiająca zdalne wykonanie kodu przed uwierzytelnieniem w React Server Components w wersjach 19.0.0, 19.1.0, 19.1.1 i 19.2.0, obejmująca pakiety react-server-dom-parcel, react-server-dom-turbopack i react-server-dom-webpack. Wrażliwy kod niebezpiecznie deserializuje dane z żądań HTTP do punktów końcowych funkcji serwera.
- CVE-2026-23864Wysokie
W pakietach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) wykryto wiele podatności typu odmowa usługi (DoS). Specjalnie spreparowane żądania HTTP do punktów końcowych Server Function mogą powodować awarie serwera, wyjątki braku pamięci lub nadmierne zużycie CPU.
Oryginalny opis (angielski, źródło NVD)
A denial of service vulnerability exists in React Server Components, affecting the following packages: react-server-dom-parcel, react-server-dom-turbopack and react-server-dom-webpack (versions 19.0.0 through 19.0.4, 19.1.0 through 19.1.5, and 19.2.0 through 19.2.4). The vulnerability is triggered by sending specially crafted HTTP requests to Server Function endpoints.The payload of the HTTP request causes excessive CPU usage for up to a minute ending in a thrown error that is catchable.