BULLETIN D'ALERTES

IMPACT :

• Exécution de code à distance
• Atteinte potentielle à la confidentialité, à l’intégrité et à la disponibilité des données

SYSTÉME AFFECTÉ :

• react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.0.0 à 19.0.8
• react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.1.0 à 19.1.9
• react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.2.0 à 19.2.8
• react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack version 19.3.0

DÉSCRIPTION :

Une vulnérabilité critique a été corrigée dans React Server Components, l’ensemble de paquets qui permet d’exécuter des composants React sur le serveur. Le serveur ne contrôle pas correctement certaines données reçues avant de les traiter. Un attaquant distant peut donc lui envoyer une requête spécialement conçue et exécuter du code arbitraire, sans compte ni authentification. L’éditeur précise que l’exploitation n’est possible que dans des cas très rares : l’application doit renvoyer plusieurs blocs de données binaires (tableaux typés) en même temps qu’une valeur fournie par l’attaquant. Ne sont pas concernées les applications React qui fonctionnent uniquement dans le navigateur, ni celles qui n’utilisent aucun framework, bundler ou plugin de bundler compatible avec React Server Components.

SOLUTION :

Mettre à jour react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack vers les versions corrigées suivantes :

• Branche 19.0 : 19.0.9 (ou une version ultérieure)
• Branche 19.1 : 19.1.10 (ou une version ultérieure)
• Branche 19.2 : 19.2.9 (ou une version ultérieure)
• Branche 19.3 : 19.3.1 (ou une version ultérieure)

DOCUMENTATION :

Bulletin de sécurité React

• https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3

CVE-2026-126187 :

• https://www.cve.org/CVERecord?id=CVE-2026-126187