RCE sem autenticação em React Server Components tem correção disponível
A falha crítica GHSA-xqc2-xf4c-x3h3 nos pacotes react-server-dom-webpack, react-server-dom-turbopack e react-server-dom-parcel permite execução remota de código sem autenticação, via respostas maliciosas de payload RSC Flight, segundo a Upwind. A correção existe nas versões 19.0.9, 19.1.10, 19.2.9 e 19.3.1, ou via Next.js 16.4.1 ou 15.5.28. A Upwind recomenda atualizar imediatamente; a fonte não relata exploração ativa nem PoC pública.
O que aconteceu
Uma falha crítica (GHSA-xqc2-xf4c-x3h3) nos pacotes de React Server Components permite que invasores remotos executem código arbitrário nos servidores, sem senha e sem conta. O ataque usa respostas maliciosas no formato RSC Flight. A Upwind divulgou o alerta e pede atualização imediata.
Por que importa
Aplicações que usam react-server-dom-webpack, react-server-dom-turbopack ou react-server-dom-parcel nas versões 19.0.0 a 19.3.0 ficam expostas a controle remoto total do servidor. Isso pode significar roubo de dados, parada de operação e comprometimento da infraestrutura.
O que fazer
Atualize imediatamente para 19.0.9, 19.1.10, 19.2.9 ou 19.3.1, ou para Next.js 16.4.1 ou 15.5.28. Levante hoje quais sistemas usam os pacotes afetados e em qual versão.
Para o time técnico
- Afetados
- React Server Components (pacotes react-server-dom-webpack, react-server-dom-turbopack e react-server-dom-parcel) · react-server-dom-webpack, react-server-dom-turbopack e react-server-dom-parcel nas versões 19.0.0–19.0.8, 19.1.0–19.1.9, 19.2.0–19.2.8 e 19.3.0.
- Exploração
- Divulgada pela Upwind; a fonte não relata exploração ativa, PoC pública nem entrada no KEV.
- Correção
- Atualizar para 19.0.9, 19.1.10, 19.2.9 ou 19.3.1; alternativa via Next.js 16.4.1 ou 15.5.28.
- Vetor
- Componentes react-server-dom-webpack, react-server-dom-turbopack e react-server-dom-parcel. Falha de execução de código arbitrário explorável remotamente e sem autenticação, via respostas maliciosas de payload RSC Flight que transportam múltiplos arrays tipados e valores controlados pelo atacante.
- Mais detalhes
- Identificador GHSA-xqc2-xf4c-x3h3, classificado como crítico pela Upwind. Única fonte: alerta da Upwind (@UpwindMDR). Sem datas, IOCs ou detalhes de cadeia de ataque citados.
Linha do tempo
Alerta da Upwind divulga a falha e recomenda atualização imediata dos pacotes.
Fontes 1 fonte
- @UpwindMDR @UpwindMDR
