React服务器组件存在严重漏洞，未经认证的攻击者可在服务器上执行恶意代码

事件经过

该安全公告于2026年10月14日发布，为此问题评定的CVSS v4.0评分为9.5分。公告未披露详细的利用过程，也未指出底层的编码错误。

受影响版本包括19.0.0至19.0.8、19.1.0至19.1.9、19.2.0至19.2.8，以及19.3.0。维护者所确定的依赖范围，取决于这些具体的软件包版本，而非仅仅取决于是否使用了React。

React服务器组件中的一个严重漏洞可能使未经认证的攻击者在受影响的服务器上执行恶意代码。React维护者建议用户立即更新系统，但同时强调，利用该漏洞所需的条件极为罕见。

据官方安全公告（编号为GHSA-xqc2-xf4c-x3h3）显示，针对支持React服务器组件的框架所构造的恶意载荷，可触发远程代码执行（即从远端在某台机器上运行程序）。

该漏洞的触发条件涉及传输多个类型化数组以及攻击者可控值的响应。该漏洞影响三个npm软件包：react-server-dom-webpack、react-server-dom-parcel和react-server-dom-turbopack。