Kritische Sicherheitslücke in React Server Components ermöglicht nicht authentifizierten Angreifern die Ausführung von Schadcode auf Servern

Was passiert ist

Die am 14. Oktober 2026 veröffentlichte Sicherheitsmitteilung stuft das Problem mit einem CVSS-v4.0-Wert von 9,5 ein. Die Mitteilung nennt keine detaillierte Angriffsabfolge und benennt auch den zugrunde liegenden Programmierfehler nicht.

Betroffen sind die Versionen 19.0.0 bis 19.0.8, 19.1.0 bis 19.1.9, 19.2.0 bis 19.2.8 sowie 19.3.0. Maßgeblich für den Umfang der von den Maintainern festgestellten Betroffenheit sind diese Paketversionen und nicht allein die Präsenz von React.

Eine schwerwiegende Sicherheitslücke in React Server Components kann nicht authentifizierten Angreifern ermöglichen, Schadcode auf betroffenen Servern auszuführen. Die React-Maintainer raten Nutzern, ihre Systeme umgehend zu aktualisieren, betonen jedoch, dass die für eine Ausnutzung nötigen Bedingungen äußerst selten sind.

CVE/Schwachstelle Cyber Security News Schwachstelle 2 Min. Lesezeit

Laut der offiziellen Sicherheitsmitteilung, geführt unter GHSA-xqc2-xf4c-x3h3, können speziell gestaltete Payloads, die auf Frameworks mit Unterstützung für React Server Components abzielen, die Remote Code Execution (das Ausführen von Programmen auf einem Rechner von einem anderen Ort aus) auslösen.

Der verwundbare Zustand betrifft Antworten, die mehrere typisierte Arrays zusammen mit einem vom Angreifer kontrollierten Wert übertragen. React Server Components Schwachstelle Die Lücke betrifft drei npm-Pakete: react-server-dom-webpack, react-server-dom-parcel und react-server-dom-turbopack.