CVE-2026-126187: Se corrigió la ejecución remota de código sin autenticación de los componentes del servidor de React en la versión 19.3.1.

Los responsables del mantenimiento de la biblioteca React corrigieron una vulnerabilidad crítica de ejecución remota de código sin autenticación en los componentes de servidor de React. Esta vulnerabilidad, identificada como CVE-2026-126187 (CVSS 9.5), afecta a los paquetes DOM del servidor cuando las respuestas envían múltiples arrays tipados con un valor malicioso. Los desarrolladores que utilicen las herramientas de servidor de React deben actualizar a la versión 19.3.1 o a la última versión parcheada de inmediato.

Importancia

Los componentes de servidor de React gestionan el renderizado y las tareas de datos del servidor para herramientas web modernas como Next.js. Dado que la vulnerabilidad no requiere contraseña de inicio de sesión, los servidores web expuestos que utilizan esta vía se enfrentan a un riesgo total de toma de control.

El investigador de seguridad evolutionstorm informó de la vulnerabilidad al equipo de React. Actualmente, ni el informe de React ni MITRE confirman ataques activos ni código de explotación público verificado. Si bien solo algunas configuraciones raras activan la vulnerabilidad, los programadores descargan estos paquetes de servidor millones de veces por semana en npm.

Cómo funciona el ataque Deserialización de datos no confiable

En primer lugar, el fallo se origina en el manejo inseguro de datos (CWE-502) en las bibliotecas de React Flight. El error se produce cuando una respuesta del servidor envía múltiples arrays tipados junto con un valor controlado por el atacante. En consecuencia, un atacante remoto puede enviar una carga útil manipulada que interrumpe el análisis del flujo de datos y ejecuta código en el servidor.