React Server Components, falla critica RCE senza autenticazione (CVSS v4 9.5)

• Falla critica RCE senza autenticazione nei pacchetti react-server-dom (CVSS v4 9.5)
• Colpite le versioni 19.0.0–19.0.8, 19.1.0–19.1.9, 19.2.0–19.2.8 e 19.3.0
• Serve uno schema di risposta raro; nessuno sfruttamento attivo segnalato
• Aggiornare a 19.0.9, 19.1.10, 19.2.9 o 19.3.1

Il team di React ha diffuso il 14 ottobre 2026 un advisory di sicurezza, identificato come GHSA-xqc2-xf4c-x3h3, su una vulnerabilità critica nei React Server Components. Il difetto può consentire a un attaccante di eseguire codice da remoto senza autenticarsi. Il punteggio CVSS v4 è 9.5 e gli sviluppatori raccomandano di aggiornare subito le applicazioni interessate.

Pacchetti e condizioni di sfruttamento

La falla riguarda tre pacchetti, usati per supportare i Server Components con diversi strumenti di build:

• react-server-dom-webpack
• react-server-dom-parcel
• react-server-dom-turbopack

Secondo React, payload costruiti ad hoc e inviati a framework che supportano i Server Components possono innescare l’esecuzione remota di codice. Lo sfruttamento richiede però uno schema di risposta «estremamente raro»: più typed array (strutture che contengono dati numerici in formati definiti) insieme a un valore controllato dall’attaccante. Usare React, quindi, non rende vulnerabile ogni applicazione.

L’advisory non pubblica un’analisi tecnica completa né istruzioni di exploit. Non è chiaro, dalla descrizione pubblica, quanto sia diffuso in produzione lo schema applicativo necessario.

Gravità

Il punteggio elevato riflette l’impatto potenziale, nonostante il requisito ristretto. L’attaccante non ha bisogno di privilegi e non serve alcuna interazione dell’utente. L’impatto su riservatezza, integrità e disponibilità è valutato alto.

Non va confuso con React2Shell, tracciato come CVE-2025-55182. L’advisory di ottobre non riporta alcun identificatore CVE e le prove di attacchi contro la falla più vecchia non dimostrano lo sfruttamento di questa. L’avviso pubblico non segnala sfruttamento attivo.

Versioni colpite e corrette

Per tutti e tre i pacchetti, le versioni vulnerabili sono:

• 19.0.0 – 19.0.8
• 19.1.0 – 19.1.9
• 19.2.0 – 19.2.8
• 19.3.0

Le versioni corrette sono 19.0.9, 19.1.10, 19.2.9 e 19.3.1. Le tabelle dei pacchetti confermano 19.0.9, nonostante un refuso (19.0.09) nella descrizione della patch.

Cosa fare

• Verificare le versioni dei pacchetti server-dom installati rispetto agli intervalli ufficiali, senza affidarsi a indicazioni di patch precedenti.
• Aggiornare alla release corretta della propria linea.

Non sono colpite le applicazioni senza codice React lato server, né quelle prive di framework, bundler o plugin che supportino i Server Components.

Fonte: Cyber Security News · Foto: Cyber Security News