Interfaz en español. Las fichas, los resúmenes y las fuentes conservan su idioma original.
React warns that crafted payloads can execute code in frameworks supporting Server Components when responses transport multiple typed arrays and a value controlled by an attacker. The advisory does not report exploitation in the wild.
Quiénes deben revisar: Teams operating frameworks, bundlers or plugins that support React Server Components.
Check deployed react-server-dom packages and update the affected branch to 19.0.9, 19.1.10, 19.2.9 or 19.3.1. Rebuild and redeploy the server; prioritize applications matching the response conditions.
The maintainer published this advisory on October 14. Crafted payloads can cause remote code execution in frameworks supporting React Server Components, but the described path depends on responses carrying multiple typed arrays and a value controlled by an attacker. React characterizes these conditions as extremely rare.
The three affected packages are react-server-dom-webpack, react-server-dom-parcel and react-server-dom-turbopack. Their corrected branch versions are 19.0.9, 19.1.10, 19.2.9 and 19.3.1. Applications whose React code runs only in the browser are not affected, nor are applications without a framework, bundler or plugin supporting Server Components.
The reviewed advisory does not establish attacks in the wild. Oktsec recommends checking actual server dependencies and response behavior, applying the corrected packages and verifying the deployed build. A critical severity score does not establish exploitation or make every React application vulnerable.
| Producto | Afectado | Versión corregida / acción |
|---|---|---|
| react-server-dom-webpack | 19.0.0–19.0.8; 19.1.0–19.1.9; 19.2.0–19.2.8; 19.3.0 | 19.0.919.1.1019.2.919.3.1 |
| react-server-dom-parcel | 19.0.0–19.0.8; 19.1.0–19.1.9; 19.2.0–19.2.8; 19.3.0 | 19.0.919.1.1019.2.919.3.1 |
| react-server-dom-turbopack | 19.0.0–19.0.8; 19.1.0–19.1.9; 19.2.0–19.2.8; 19.3.0 | 19.0.919.1.1019.2.919.3.1 |
Usá las indicaciones para tu producto y rama. Confirmá con el proveedor las correcciones adaptadas a tu distribución; el nombre del producto por sí solo no establece exposición.
The maintainer recommends immediate updates, but exploitation requires specific RSC response contents described as extremely rare. No attacks are reported in the reviewed advisory; prioritize confirmed applicable deployments.
Check web interfaces used by agent platforms only if their server uses the affected RSC packages; browser rendering alone does not establish exposure.
Added the October maintainer advisory with package versions, response conditions and explicit exclusions for unaffected applications.
Usá esta lista para evaluar si el aviso afecta a tus sistemas, registrar las acciones de tu equipo y compartir el resultado. Radar no escanea ni verifica tu entorno.
Los cambios se guardan automáticamente en este navegador. No se sincronizan con tu equipo ni se envían a Oktsec.
Revisá los sistemas y versiones afectados y registrá tu decisión a continuación. Si tenés dudas, elegí «Requiere verificación».
Indicá el sistema y la persona o equipo responsable. Actualizá cada acción y agregá una referencia al ticket o notas sobre lo revisado.
Inspect deployed server dependencies and framework support for React Server Components. Apps whose React code runs only in the browser, or that lack a framework, bundler or plugin supporting RSC, are outside the maintainer’s stated scope.
The advisory requires responses transporting multiple typed arrays together with a value controlled by an attacker. Oktsec recommends tracing these responses and prioritizing applicable exposed servers; uncertainty is a reason to update, not proof of exploitation.
Use 19.0.9, 19.1.10, 19.2.9 or 19.3.1 in the matching affected package branch, or a later corrected release. Follow framework compatibility guidance, rebuild, redeploy and verify installed versions in the running server.
Descargá un archivo Markdown con tu decisión, los estados de las acciones, las notas y las fuentes. Compartilo con tu equipo o adjuntalo a un ticket.
Compará la versión en ejecución y la configuración con las indicaciones del proveedor.
| Producto | Afectado | Versión corregida / acción |
|---|---|---|
| react-server-dom-webpack | 19.0.0–19.0.8; 19.1.0–19.1.9; 19.2.0–19.2.8; 19.3.0 | 19.0.919.1.1019.2.919.3.1 |
| react-server-dom-parcel | 19.0.0–19.0.8; 19.1.0–19.1.9; 19.2.0–19.2.8; 19.3.0 | 19.0.919.1.1019.2.919.3.1 |
| react-server-dom-turbopack | 19.0.0–19.0.8; 19.1.0–19.1.9; 19.2.0–19.2.8; 19.3.0 | 19.0.919.1.1019.2.919.3.1 |
Confirmá con el proveedor las correcciones adaptadas a tu distribución. Coincidir en el producto no basta para establecer exposición.
The maintainer recommends immediate updates, but exploitation requires specific RSC response contents described as extremely rare. No attacks are reported in the reviewed advisory; prioritize confirmed applicable deployments.
Criterios de prioridadCatálogo 2026.11.10 · Revisado 11 nov 2026 UTC
No hay un CVE coincidente en el corte del catálogo revisado. Esto no demuestra ausencia de explotación. Revisá las fuentes del incidente y las indicaciones del proveedor.
| Producto / CVE | Evidencia de ataques | Indicaciones de la fuente |
|---|---|---|
| react-server-dom-webpack / react-server-dom-parcel / react-server-dom-turbopackCVE-2026-126187 | Ataques no establecidos La evidencia revisada no establece si esta vulnerabilidad se usó en ataques. | React fuenteRevisar sistemas afectados |
Estimación no disponible. No equivale a un puntaje de cero.
FIRST EPSS · Revisado 2026-11-11 19:05 UTC
La prioridad corresponde al aviso, no a cada producto o CVE por separado. Cada fila muestra solo la evidencia atribuida a ese CVE. La falta de evidencia de ataques no permite descartar una vulnerabilidad. Tu entorno no fue escaneado.
| Fuente | Aviso oficial |
|---|---|
| CERT-PYParaguay · Español |
Vinculado por CVE. El país del emisor no indica dónde ocurrieron los ataques.
Los datos técnicos provienen de estas fuentes. Las prioridades y las acciones recomendadas son el análisis de Oktsec.
| Producto / servicio | react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopackReact |
|---|---|
| CVE | CVE-2026-126187 |
| Evidencia de explotación | Ataques no establecidos |
| Acceso necesario | Depende de la aplicación o configuración |
| Severidad del proveedor | 9.5CVSS 4.0 |
| Corrección / respuesta | Corrección disponibleVersiones afectadas y correcciones |
Check web interfaces used by agent platforms only if their server uses the affected RSC packages; browser rendering alone does not establish exposure.