CríticoCVSS9.52026-11-12
CVE-2026-126187 — Execução remota de código sem autenticação no React Server Components (react-server-dom-* corrigido em 19.0.9, 19.1.10, 19.2.9 e 19.3.1): explicação e correção
Uma falha de desserialização de dados não confiáveis (CWE-502) nos pacotes de Server Components do React (react-server-dom-webpack, -parcel e -turbopack). O aviso do GitHub diz que cargas manipuladas podem levar à execução remota de código sem autenticação, com pontuação CVSS v4 de 9.5 (crítica). O aviso também diz que afeta apenas casos extremamente raros em que as respostas transportam vários arrays tipados e um valor controlado pelo atacante. As versões corrigidas foram lançadas em 14 de outubro de 2026 e o aviso foi publicado em 10 de novembro. Não há relato de exploração. Opinião deste site: a pontuação é alta, então qualquer aplicação que use Server Components deve verificar as versões de react-server-dom-* de que depende e passar para uma versão corrigida.