重大CVSS9.52026-11-12
CVE-2026-126187 — React Server Components の認証不要リモートコード実行（react-server-dom-* の修正版 19.0.9・19.1.10・19.2.9・19.3.1）の解説と対応策
ReactのServer Components用パッケージ（react-server-dom-webpack・parcel・turbopack）にある、信頼できないデータのデシリアライズ（CWE-502）。GitHubの勧告は、細工したデータで認証不要のリモートコード実行に至り得ると説明し、CVSS v4は9.5（Critical）。ただし勧告は、影響するのは、複数の型付き配列と攻撃者の制御する値を同じ応答で運ぶ、極めてまれな場合に限られるとする。修正版は2026年10月14日に公開済みで、勧告の公開は11月10日。悪用の記載は確認できなかった。当サイトの結論：点数が高いので、RSCを使うアプリは依存のreact-server-dom-*の版を確かめ、修正版へ上げる。