위험CVSS9.52026-11-12
CVE-2026-126187 — React Server Components의 인증 없는 원격 코드 실행(react-server-dom-* 수정 버전 19.0.9, 19.1.10, 19.2.9, 19.3.1): 해설과 대책
React의 Server Components 패키지(react-server-dom-webpack, -parcel, -turbopack)에 있는 신뢰할 수 없는 데이터의 역직렬화 결함(CWE-502)입니다. GitHub 권고에 따르면 조작된 페이로드로 인증 없는 원격 코드 실행에 이를 수 있으며, CVSS v4 점수는 9.5(Critical)입니다. 권고는 응답이 여러 개의 형식화 배열과 공격자가 제어하는 값을 함께 전달하는 극히 드문 경우에만 영향이 있다고도 밝힙니다. 수정 버전은 2026년 10월 14일에 릴리스됐고 권고는 11월 10일에 공개됐습니다. 악용은 보고되지 않았습니다. 이 사이트의 견해: 점수가 높으므로 Server Components를 쓰는 앱은 의존하는 react-server-dom-* 버전을 확인하고 수정 버전으로 올리세요.