O vulnerabilitate critică în React Server Components permite executarea de cod de la distanță

O vulnerabilitate critică de securitate în React Server Components le poate permite atacatorilor să execute cod de la distanță fără a se autentifica. React a publicat avizul, înregistrat sub numărul GHSA-xqc2-xf4c-x3h3, pe 14 octombrie 2026. Vulnerabilitatea are un scor CvSS v4 de 9.5/10, iar echipa React recomandă actualizarea imediată a aplicațiilor afectate.

Vulnerabilitatea afectează react-server-dom-webpack, react-server-dom-parcel și react-server-dom-turbopack. Aceste pachete suportă React Server Components în cadrul diferitelor instrumente de compilare.

Exploatarea necesită un model de răspuns extrem de rar, care implică mai multe șiruri tipizate și o valoare controlată de un atacator. Simpla utilizare a React nu face ca fiecare aplicație să fie vulnerabilă.

Conform React, payload-urile special concepute care vizează framework-urile care suportă React Server Components pot declanșa executarea de cod de la distanță. Structurile de date numerice tipizate (Typed Arrays) conțin date numerice în formate definite.

Avertismentul identifică ca o condiție relevantă răspunsurile care conțin mai multe astfel de matrice alături de date controlate de atacator, dar nu publică o analiză tehnică completă sau instrucțiuni de exploatare.

Nivelul de severitate reflectă impactul potențial, în ciuda acestei cerințe restrânse. Un atacator nu are nevoie de privilegii de acces, iar exploatarea nu necesită nicio interacțiune din partea utilizatorului. Avertismentul evaluează ca fiind ridicate efectele posibile asupra confidențialității datelor, integrității datelor și disponibilității serviciilor. Cu toate acestea, descrierea sa publică nu precizează cât de răspândit este modelul de aplicație necesar în mediul de producție.

Această dezvăluire vine în urma unor vulnerabilități de securitate anterioare ale React, prezentate în cadrul unui articol privind exploatarea vulnerabilității React2Shell. Utilizatorii nu trebuie să confunde acele atacuri cu prezentul aviz.

React2Shell a fost înregistrată sub codul CVE-2025-55182, în timp ce avizul din octombrie nu menționează niciun identificator CVE cunoscut. Dovezile privind atacurile împotriva vulnerabilității mai vechi nu demonstrează exploatarea acestei vulnerabilități mai recente.

Avizul oficial de securitate React enumeră versiunile afectate ca fiind de la 19.0.0 până la 19.0.8, de la 19.1.0 până la 19.1.9, de la 19.2.0 până la 19.2.8 și 19.3.0 pentru toate cele trei pachete. Versiunile remediate sunt 19.0.9, 19.1.10, 19.2.9 și 19.3.1.

React recomandă în mod explicit actualizarea imediată a pachetelor afectate. Aplicațiile fără cod React pe partea de server nu sunt afectate, la fel cum nu sunt afectate nici aplicațiile care nu utilizează un framework, un bundler sau un plugin care să suporte React Server Components.

Sursă: https://cybersecuritynews.com/react-server-components-vulnerability-patch/