React heeft kwetsbaarheden verholpen in bepaalde versies van React Server Components (specifiek voor versies 19.0.0, 19.1.0, 19.1.1 en 19.2.0). Een ongeauthenti…

Published:

3 december 2025 om 20:11:57

Alert date:

5 december 2025 om 08:03:23

Source:

ncsc.nl

React heeft kritieke kwetsbaarheden verholpen in React Server Components versies 19.0.0 tot 19.2.0 die remote code execution mogelijk maken. Een ongeauthenticeerde aanvaller kan malafide HTTP-verzoeken sturen naar Server Function-endpoints om willekeurige code uit te voeren op de server. De kwetsbaarheid treft react-server-dom packages en frameworks zoals Next.js, React Router en Waku. Patches zijn beschikbaar in versies 19.0.1, 19.1.2 en 19.2.1 voor React, en verschillende versies voor Next.js. Onmiddellijke upgrade wordt sterk aanbevolen.

Technical details

Mitigation steps:

Affected products:

React Server Components
react-server-dom-webpack
react-server-dom-parcel
react-server-dom-turbopack
Next.js
React Router
Waku
@parcel/rsc
@vitejs/plugin-rsc
rwsdk