CVE-2026-126187

Nome do Software Vulnerável e Versões Afetadas react-server-dom-webpack versões 19.0.0 até 19.0.8 react-server-dom-webpack versões 19.1.0 até 19.1.9 react-server-dom-webpack versões 19.2.0 até 19.2.8 react-server-dom-webpack versão 19.3.0 react-server-dom-parcel versões 19.0.0 até 19.0.8 react-server-dom-parcel versões 19.1.0 até 19.1.9 react-server-dom-parcel versões 19.2.0 até 19.2.8 react-server-dom-parcel versão 19.3.0 react-server-dom-turbopack versões 19.0.0 até 19.0.8 react-server-dom-turbopack versões 19.1.0 até 19.1.9 react-server-dom-turbopack versões 19.2.0 até 19.2.8 react-server-dom-turbopack versão 19.3.0 Next.js versões anteriores a 15.5.28 Next.js versões anteriores a 16.4.1

Description A execução remota de código não autenticada é possível em frameworks que suportam React Server Components devido a um erro de dessincronização na serialização do React Flight. O problema ocorre quando as respostas transportam múltiplos arrays tipados que compartilham um buffer subjacente e um valor controlado pelo invasor, afetando especificamente configurações que utilizam Next.js Cache Components (use cache). Um invasor pode usar uma requisição HTTP GET manipulada para explorar visualizações de ArrayBuffer desanexadas e enquadramento de comprimento incorreto, transformando uma sobre-leitura de desserialização em uma invocação de Server Action. Aplicações que não utilizam um servidor ou um framework, bundler ou plugin que suporte React Server Components não são afetadas.

Recommendations Atualize react-server-dom-webpack, react-server-dom-parcel e react-server-dom-turbopack para as versões 19.0.9, 19.1.10, 19.2.9 ou 19.3.1. Atualize o Next.js para a versão 15.5.28 ou 16.4.1.