React heeft kritieke kwetsbaarheden verholpen in React Server Components versies 19.0.0 tot 19.2.0 die remote code execution mogelijk maken. Een ongeauthenticeerde aanvaller kan malafide HTTP-verzoeken sturen naar Server Function-endpoints om willekeurige code uit te voeren op de server. De kwetsbaarheid treft react-server-dom packages en frameworks zoals Next.js, React Router en Waku. Patches zijn beschikbaar in versies 19.0.1, 19.1.2 en 19.2.1 voor React, en verschillende versies voor Next.js. Onmiddellijke upgrade wordt sterk aanbevolen.