КритическаяCVSS9.52026-11-12
CVE-2026-126187 — удалённое выполнение кода без аутентификации в React Server Components (react-server-dom-* исправлено в 19.0.9, 19.1.10, 19.2.9 и 19.3.1): разбор и исправление
Уязвимость десериализации недоверенных данных (CWE-502) в пакетах React Server Components (react-server-dom-webpack, -parcel и -turbopack). Бюллетень GitHub сообщает, что специально сформированные данные могут привести к удалённому выполнению кода без аутентификации, оценка CVSS v4 — 9.5 (Critical). Бюллетень также говорит, что это затрагивает лишь крайне редкие случаи, когда ответы передают несколько типизированных массивов и значение, контролируемое атакующим. Исправленные версии выпущены 14 октября 2026 года, а бюллетень опубликован 10 ноября. Об эксплуатации не сообщается. Мнение этого сайта: оценка высокая, поэтому любому приложению, использующему Server Components, стоит проверить версии react-server-dom-*, от которых оно зависит, и перейти на исправленную версию.