1 artículo con esta etiqueta
Un fallo de deserialización de datos no confiables (CWE-502) en los paquetes de Server Components de React (react-server-dom-webpack, -parcel y -turbopack). El aviso de GitHub dice que cargas útiles manipuladas pueden llevar a una ejecución remota de código sin autenticación, con una puntuación CVSS v4 de 9.5 (crítica). El aviso añade que solo afecta a casos extremadamente raros en los que las respuestas transportan varios arrays tipados y un valor controlado por el atacante. Las versiones corregidas se publicaron el 14 de octubre de 2026 y el aviso se publicó el 10 de noviembre. No se ha informado de explotación. Opinión de este sitio: la puntuación es alta, así que cualquier aplicación que use Server Components debe comprobar las versiones de react-server-dom-* de las que depende y pasar a una versión corregida.