Veille sécuritéFrontend
P3Critique
Une désérialisation de données non fiables dans React Server Components peut permettre à un attaquant non authentifié d’exécuter du code à distance dans des conditions décrites comme extrêmement rares. Les applications qui n’utilisent pas de serveur React ou de framework, bundler ou plugin prenant en charge React Server Components ne sont pas concernées.
React
IdentifiantCVE-2026-126187
GravitéCritique
Exploitationnon connue / non déterminée
Correctifreact-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack : 19.0.9, 19.1.10, 19.2.9 et 19.3.1
Source : GitHub Advisory — GHSA-xqc2-xf4c-x3h3
Analyse technique
L’avis décrit un déclenchement dans de rares réponses transportant plusieurs tableaux typés et une valeur contrôlée par l’attaquant. L’impact annoncé est une exécution de code à distance sans authentification; aucune exploitation confirmée n’est établie par les éléments consultés.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-11-10 à 22:44:12Z, soit le 2026-11-11 à 00:44:12+02:00, dans la période demandée. La publication NVD indiquée au 2026-11-10T23:17:20.687Z tombe également dans cette période; sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactExécution de code à distance sur le serveur dans les cas concernés.
Versions affectéesreact-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack : 19.0.0–19.0.8, 19.1.0–19.1.9, 19.2.0–19.2.8 et 19.3.0
Version corrigéereact-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack : 19.0.9, 19.1.10, 19.2.9 et 19.3.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS1,76% · percentile 78,3%
Publication2026-11-11T00:44:12+02:00
Mise à jour2026-11-11T00:44:13+02:00
Détection / vérification
Vérifier les versions des trois paquets react-server-dom dans les dépendances et mettre à jour vers la version corrigée correspondant à la branche utilisée.
Action recommandée
Mettre à jour immédiatement les paquets React Server Components concernés vers une version corrigée; vérifier également les dépendances transitives des frameworks et bundlers utilisés.
Sources
Priorisation DFS : P3 · 2 source(s).