严重CVSS9.52026-11-12
CVE-2026-126187 — React Server Components 中的未认证远程代码执行（react-server-dom-* 已在 19.0.9、19.1.10、19.2.9 和 19.3.1 中修复）：解析与对策
React 的 Server Components 软件包（react-server-dom-webpack、-parcel 和 -turbopack）中存在不可信数据反序列化缺陷（CWE-502）。GitHub 的公告称，精心构造的载荷可导致未认证的远程代码执行，CVSS v4 评分为 9.5（Critical）。公告还称，它只影响响应中同时传输多个类型化数组和攻击者可控值这种极为罕见的情形。修复版本于2026年10月14日发布，公告于11月10日公布。未见利用报告。本站的观点：评分很高，所以任何使用 Server Components 的应用都应检查所依赖的 react-server-dom-* 版本，并升级到修复版本。