React Server Components 曝9.5分高危漏洞，可远程执行代码

React 团队于 2026 年 10 月 14 日发布安全公告 GHSA-xqc2-xf4c-x3h3，披露 React Server Components 存在一个 CVSS v4 评分为 9.5 的高危漏洞，攻击者可在无需账号权限、无需用户交互的情况下远程执行代码。

受影响的是 react-server-dom-webpack、react-server-dom-parcel 和 react-server-dom-turbopack 三个包，官方已给出修复版本，并建议受影响应用立即升级。

漏洞基本情况

公告给出的 CVSS v4 评分为 9.5，属于高危级别。React 团队在公告中建议受影响的应用立即更新。

React 团队并未在公开描述中给出完整的技术细节，也没有发布漏洞利用方法。

值得注意的是，该公告未列出任何已知的 CVE 编号。来源同时提到，此前报道过的 React2Shell 攻击对应 CVE-2025-55182，与本次公告是两个不同的问题，针对旧漏洞的攻击证据不能说明这一新问题已被利用。

根据 React 的说法，针对支持 React Server Components 的框架构造的特制载荷可以触发远程执行代码。触发条件较为特殊：响应中需要同时包含多个 typed array（类型化数组）以及由攻击者控制的数据。类型化数组以固定格式存放数值数据，公告将这种组合列为相关条件。

攻击者不需要任何账号权限，利用过程也不需要用户交互。公告将漏洞对数据隐私、数据完整性和服务可用性的潜在影响均评为高。这一评分反映的是潜在影响，尽管触发条件较为狭窄。

不过，公告的公开描述并未说明这种必需的应用模式在生产环境中出现得有多普遍。React 也明确指出，仅仅使用 React 并不意味着每个应用都受影响；没有服务端 React 代码的应用，以及没有使用支持 React Server Components 的框架、打包器或插件的应用，都不在受影响之列。

此外，公开公告没有声称该漏洞已遭实际利用。来源指出，在评估暴露面和准确报道该漏洞时，这些区分很重要。

官方安全公告列出了三个包各自的受影响版本区间：19.0.0 至 19.0.8、19.1.0 至 19.1.9、19.2.0 至 19.2.8，以及 19.3.0。

公告中的包表格确认修复版本为 19.0.9、19.1.10、19.2.9 和 19.3.1。来源提到，补丁说明中曾出现“19.0.09”的拼写错误，但表格确认实际版本号为 19.0.9。

来源建议，团队应核对已安装的 server-dom 包版本是否落在官方公布的受影响区间内，而不是依赖较早的补丁指引。来源还提到，其此前报道过与 Next.js 相关的漏洞，其中包括一个涉及多个类型化数组的 Cache Components 问题。