react
React Server Components: esecuzione di codice remoto non autenticata in casi rari
Il problema, secondo i dati ufficiali
- Nei pacchetti react-server-dom-webpack, react-server-dom-parcel e react-server-dom-turbopack, un payload costruito ad hoc può portare all'esecuzione di codice da remoto. Riguarda i framework che supportano i React Server Components.
- Può essere sfruttata via rete da chiunque, senza autenticazione. Colpisce solo casi estremamente rari, in cui le risposte trasportano più typed array insieme a un valore controllato dall'attaccante.
- Non sono colpite le applicazioni il cui codice React non usa un server, né quelle che non usano un framework, un bundler o un plugin di bundler che supporta i React Server Components.
Cosa fare
- Aggiorna react a una di queste versioni o successive, secondo il ramo che usi: 19.1.10, 19.2.9, 19.3.1.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Ne parlano
- Risolta vulnerabilità in React — CSIRT Italia, 11 novembre 2026
Fonti ufficiali
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
React is a JavaScript library for building user interfaces. From 19.0.0 until 19.0.9, 19.1.10, 19.2.9, and 19.3.1, the react-server-dom-webpack, react-server-dom-parcel, and react-server-dom-turbopack packages are vulnerable to unauthenticated remote code execution through crafted payloads targeting frameworks that support React Server Components. The vulnerability only affects extremely rare cases where responses transport multiple typed arrays and an attacker-controlled value. Applications whose React code does not use a server are not affected. Applications that do not use a framework, bundler, or bundler plugin that supports React Server Components are not affected. This issue is fixed in versions 19.0.9, 19.1.10, 19.2.9, and 19.3.1.
Non sai se ti riguarda?
Se usi react e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.