Uma séria vulnerabilidade em React Server Components pode permitir que atacantes não autenticados executem código malicioso em servidores afetados. O alerta, divulgado em 14 de outubro de 2026, atribui ao problema uma pontuação 9,5 na escala CVSS (Sistema de Pontuação de Vulnerabilidades Comuns) versão 4.0.
Os mantenedores do React recomendam que os usuários atualizem seus sistemas imediatamente, embora enfatizem que as condições necessárias para a exploração são extremamente raras.
De acordo com o alerta oficial de segurança, identificado como GHSA-xqc2-xf4c-x3h3, cargas maliciosas (payloads) direcionadas a frameworks que oferecem suporte a React Server Components podem acionar execução remota de código. A condição vulnerável envolve respostas que transportam múltiplos arrays tipados junto com um valor controlado pelo atacante. O alerta não divulga uma sequência detalhada de exploração nem identifica o erro de programação subjacente.
Vulnerabilidade em React Server Components
A vulnerabilidade afeta três pacotes npm (gerenciador de pacotes do Node.js): react-server-dom-webpack, react-server-dom-parcel e react-server-dom-turbopack. As versões vulneráveis abrangem as séries 19.0.0 a 19.0.8, 19.1.0 a 19.1.9, 19.2.0 a 19.2.8 e 19.3.0. Essas versões dos pacotes, e não apenas a presença do React, definem o escopo de dependência identificado pelos mantenedores.
A avaliação CVSS descreve um ataque acessível pela rede, que não exige privilégios nem interação do usuário. Embora a complexidade do ataque seja classificada como baixa, o vetor marca explicitamente que requisitos adicionais de ataque estão presentes. Essa distinção é importante: uma classificação de gravidade crítica não significa que toda aplicação que use um pacote afetado exponha automaticamente um caminho de exploração viável.
A exploração bem-sucedida poderia afetar gravemente a confidencialidade, a integridade e a disponibilidade do sistema vulnerável. A avaliação também identifica altos impactos de confidencialidade e integridade em sistemas subsequentes, mas nenhum impacto de disponibilidade nesses sistemas. Essas classificações descrevem consequências potenciais; o alerta não estabelece que atacantes tenham alcançado esses resultados em ambientes de produção.
Reportagens anteriores sobre a execução remota de código React2Shell abordaram a CVE-2025-55182 (Common Vulnerabilities and Exposures, identificador público de vulnerabilidade), uma falha separada envolvendo React Server Components. Administradores não devem reaproveitar os identificadores, as listas de versões afetadas ou as orientações originais de correção dessa falha para este alerta. O registro atual no GitHub não lista nenhum identificador CVE conhecido e não traz classificação CWE (Common Weakness Enumeration).
Os mantenedores listam as versões corrigidas como 19.0.9, 19.1.10, 19.2.9 e 19.3.1 para os três pacotes afetados. As organizações devem atualizar imediatamente as dependências vulneráveis. Como precaução de implantação, as equipes devem verificar as versões resolvidas dos pacotes em arquivos de lock e em artefatos de produção e, em seguida, recompilar e reimplantar as aplicações para que o código corrigido chegue de fato aos servidores em funcionamento.
A divulgação segue outros problemas do React em servidores, incluindo uma vulnerabilidade de negação de serviço (DoS) em React Server Components. No entanto, aquele problema anterior envolve esgotamento de recursos, e não a condição de execução de código deste alerta. Tratar divulgações distintas como intercambiáveis pode levar a uma avaliação incorreta das implantações, sobretudo quando versões corrigidas anteriores permanecem dentro das faixas de versões afetadas por uma vulnerabilidade mais recente.
Aplicações React exclusivamente do lado do cliente não são afetadas. Aplicações sem um framework, bundler ou plugin de bundler que ofereça suporte a React Server Components também estão fora do escopo informado.
