危急CVSS9.52026-11-12
CVE-2026-126187 — React Server Components 中的未認證遠端程式碼執行（react-server-dom-* 已在 19.0.9、19.1.10、19.2.9 和 19.3.1 中修復）：解析與對策
React 的 Server Components 軟體包（react-server-dom-webpack、-parcel 和 -turbopack）中存在不可信資料反序列化缺陷（CWE-502）。GitHub 的公告稱，精心構造的載荷可導致未認證的遠端程式碼執行，CVSS v4 評分為 9.5（Critical）。公告還稱，它隻影響響應中同時傳輸多個型別化陣列和攻擊者可控值這種極為罕見的情形。修復版本於2026年10月14日釋出，公告於11月10日公布。未見利用報告。本站的觀點：評分很高，所以任何使用 Server Components 的應用都應檢查所依賴的 react-server-dom-* 版本，並升級到修復版本。