تم اكتشاف ثغرة أمنية خطيرة تُعرف باسم GHSA-xqc2-xf4c-x3h3 في مكونات React Server، تتيح تنفيذ التعليمات البرمجية عن بُعد بدون مصادقة. تم تعيين درجة CVSS v4 لهذه الثغرة بـ 9.5، مما يشير إلى خطورتها.

تشمل الحزم المتأثرة react-server-dom-webpack، react-server-dom-parcel، وreact-server-dom-turbopack. الإصدارات الضعيفة هي من 19.0.0 إلى 19.0.8، ومن 19.1.0 إلى 19.1.9، ومن 19.2.0 إلى 19.2.8، و19.3.0.

أصدرت React إصدارات مُحدثة 19.0.9، 19.1.10، 19.2.9، و19.3.1 لمعالجة هذه الثغرة. تتيح الثغرة حمولات مصممة تستهدف الأطر التي تدعم مكونات React Server لتفعيل تنفيذ التعليمات البرمجية عن بُعد.

يتطلب استغلال هذه الثغرة نمط استجابة نادر للغاية يتضمن مصفوفات متعددة الأنواع وقيمة يتحكم بها المهاجم. اعتبارًا من 8 نوفمبر 2026، لا توجد تقارير عامة عن استغلالها في البرية.

نشرت React النشرة الأمنية لهذه الثغرة في 14 أكتوبر 2026. ومن الجدير بالذكر أن النشرة لا تحمل معرف CVE.