React Server Components: Nicht authentifizierte Remote Code Execution
Zusammenfassung
Die serverseitigen Pakete react-server-dom-webpack, react-server-dom-parcel und react-server-dom-turbopack in React 19 enthalten einen Fehler bei der Verarbeitung von Antworten, die mehrere typisierte Arrays zusammen mit einem vom Angreifer kontrollierten Wert übertragen. Ein nicht authentifizierter Angreifer kann über das Netzwerk eine präparierte Nutzlast senden und Code auf dem Server ausführen. Der Fehler betrifft nur Webanwendungen, die React Server Components serverseitig über ein Framework, einen Bundler oder ein Bundler-Plugin mit Unterstützung dafür betreiben; reine Client-seitige React-Anwendungen sind nicht betroffen. Es wurde eine öffentliche Proof-of-Concept-Behauptung gemeldet, ein bestätigter Angriff wurde jedoch nicht gefunden.
Betroffen
- react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack von 19.0.0 bis 19.0.8
- Dieselben Pakete von 19.1.0 bis 19.1.9
- Dieselben Pakete von 19.2.0 bis 19.2.8
- Dieselben Pakete 19.3.0
- Anwendungen, die React Server Components über ein unterstütztes Framework oder einen Bundler nutzen (zum Beispiel Next.js App Router), sind über die mitgelieferte Laufzeitumgebung betroffen
Behoben in
- 19.0.9
- 19.1.10
- 19.2.9
- 19.3.1
Aktualisieren Sie react, react-dom und die react-server-dom-*-Pakete gemeinsam auf dieselbe korrigierte Version. Frameworks wie Next.js müssen auf eine Version aktualisiert werden, die die korrigierte Laufzeitumgebung enthält.
Umgehung
Unbekannt. Der Hersteller hat keine offizielle Gegenmassnahme veröffentlicht; die empfohlene Behebung ist das Aktualisieren auf eine korrigierte Version. Ein Proof of Concept eines Drittanbieters schlägt vor, use-cache-Funktionen zu entfernen, die mehrere typisierte Arrays zusammen mit vom Angreifer kontrollierten Werten zurückgeben. Dies ist keine offizielle Massnahme und nicht verifiziert.
Ausnutzung
- Öffentlicher Proof of Concept: Ein Drittanbieter-Repository behauptete am 8. November 2026 einen funktionierenden Proof of Concept; der Code wurde für diesen Eintrag nicht geprüft
- In freier Wildbahn: Zum Zeitpunkt der Erstellung wurde keine bestätigte Ausnutzung gefunden
- Der Hersteller beschreibt die auslösenden Bedingungen als extrem selten; ein öffentlicher Proof of Concept senkt die Hürde jedoch
Unsere Empfehlung
- Ermitteln Sie alle Webanwendungen, die React Server Components verwenden, einschliesslich Next.js App Router, Parcel- oder Vite-RSC-Plugins und Anwendungen von Drittanbietern
- Prüfen Sie Lockfiles und die mitgelieferte Laufzeitumgebung auf react-server-dom-webpack, react-server-dom-parcel und react-server-dom-turbopack, nicht nur die oberste react-Version
- Aktualisieren Sie auf die korrigierten Versionen und aktualisieren Sie das Framework (zum Beispiel Next.js) auf eine Version mit der Korrektur
- Priorisieren Sie aus dem Internet erreichbare Anwendungen und fragen Sie Lieferanten nach dem Patch-Status
- Prüfen Sie Webserver-Logs auf ungewöhnliche Anfragen an Server-Action-Endpunkte und behandeln Sie Treffer als potenziell schwerwiegend
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (3 Repositories)
briskets/CVE-2026-126187-poc · rudSarkar/GHSA-673q-mjm6-r5xr · TahuCryptsi/poc-cve-2026-126187-rsc-usecache-rce
Quellen der Recherche
- GitHub Security Advisory GHSA-xqc2-xf4c-x3h3 github.com
- CVE Record CVE-2026-126187 www.cve.org
- React 19.0.9 release github.com
- React 19.1.10 release github.com
- React 19.2.9 release github.com
- React 19.3.1 release github.com
- Fix commit for React 19.0.x (0c9913a) github.com
- React 19.1.x fix commit (249ac87) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 00:21.
Referenzen der NVD (15)
- https://github.com/react/react/commit/0c9913ae87283f96e868a8f1c20a3389827632d0
- https://github.com/react/react/commit/249ac87b0dadea4ba024d1393e5cb60cf1186080
- https://github.com/react/react/commit/3d06b4005ac0cf9dec37267f26174adfe6d83611
- https://github.com/react/react/commit/611d9217df39cf7b8ac91b2e41fd00555923e904
- https://github.com/react/react/commit/61aa00df822d0eb76d0362eb8b6fdd3527693efe
- https://github.com/react/react/pull/37842
- https://github.com/react/react/pull/37843
- https://github.com/react/react/pull/37844
- https://github.com/react/react/pull/37845
- https://github.com/react/react/pull/37846
- https://github.com/react/react/releases/tag/v19.0.9
- https://github.com/react/react/releases/tag/v19.1.10
- https://github.com/react/react/releases/tag/v19.2.9
- https://github.com/react/react/releases/tag/v19.3.1
- https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.