CVE-2026-126187

اسم البرنامج المصاب والإصدارات المتأثرة react-server-dom-webpack الإصدارات من 19.0.0 إلى 19.0.8 react-server-dom-webpack الإصدارات من 19.1.0 إلى 19.1.9 react-server-dom-webpack الإصدارات من 19.2.0 إلى 19.2.8 react-server-dom-webpack الإصدار 19.3.0 react-server-dom-parcel الإصدارات من 19.0.0 إلى 19.0.8 react-server-dom-parcel الإصدارات من 19.1.0 إلى 19.1.9 react-server-dom-parcel الإصدارات من 19.2.0 إلى 19.2.8 react-server-dom-parcel الإصدار 19.3.0 react-server-dom-turbopack الإصدارات من 19.0.0 إلى 19.0.8 react-server-dom-turbopack الإصدارات من 19.1.0 إلى 19.1.9 react-server-dom-turbopack الإصدارات من 19.2.0 إلى 19.2.8 react-server-dom-turbopack الإصدار 19.3.0 Next.js الإصدارات السابقة لـ 15.5.28 Next.js الإصدارات السابقة لـ 16.4.1

Description يمكن تنفيذ رمز عن بُعد دون مصادقة في أطر العمل التي تدعم React Server Components بسبب خلل في المزامنة في تسلسل React Flight. تحدث المشكلة عندما تنقل الاستجابات مصفوفات مكتوبة متعددة تشترك في مخزن مؤقت أساسي وقيمة يتحكم فيها المهاجم، مما يؤثر بشكل خاص على التكوينات التي تستخدم Next.js Cache Components (use cache). يمكن للمهاجم استخدام طلب HTTP GET مصمم خصيصاً لاستغلال طرق عرض ArrayBuffer المنفصلة وتأطير الطول غير الصحيح، مما يحول القراءة الزائدة لإلغاء التسلسل إلى استدعاء Server Action. التطبيقات التي لا تستخدم خادماً أو إطار عمل أو أداة تجميع أو ملحق يدعم React Server Components ليست متأثرة.

Recommendations تحديث react-server-dom-webpack و react-server-dom-parcel و react-server-dom-turbopack إلى الإصدارات 19.0.9 أو 19.1.10 أو 19.2.9 أو 19.3.1. تحديث Next.js إلى الإصدار 15.5.28 أو 16.4.1.