CríticaVulnerabilidadGitHub Advisory Database10 de noviembre de 2026

React: Ejecución remota de código no autenticada en componentes de servidor de React

Título original: React: Unauthenticated Remote Code Execution in React Server Components

Activa. Aparece en la lectura más reciente de la fuente.

Qué puede pasar

Un atacante puede ejecutar sus propias órdenes en tu servidor. Según la fuente, se puede aprovechar a distancia y sin iniciar sesión.

Resumen en palabras llanas del tipo de falla que declara la fuente. El detalle está en el aviso original.

Qué hacer

Actualiza react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack a la versión 19.3.1 o posterior.

Paquetes afectados

Paquete	Gestor	Versiones afectadas	Corregido en
react-server-dom-parcel	npm	>= 19.3.0, < 19.3.1	19.3.1
react-server-dom-turbopack	npm	>= 19.3.0, < 19.3.1	19.3.1
react-server-dom-webpack	npm	>= 19.3.0, < 19.3.1	19.3.1

Datos

Gravedad: Crítica
Tipo: Vulnerabilidad
Identificador: CVE-2026-126187 · GHSA-xqc2-xf4c-x3h3
Qué tan usado: Muy usado. Está entre el 0.278 % más descargado de su gestor de paquetes (ecosyste.ms).
Probabilidad de ataque: 1.8 % en los próximos 30 días (EPSS, FIRST.org)
Publicada por la fuente: 10 de noviembre de 2026
Vista por primera vez: 13 de noviembre de 2026 a las 11:49 a.m. (hora de México)
Etiquetas: npm
Fuente: GitHub Advisory Database · CC BY 4.0

Ver en la fuente Recibir avisos de lo que uso Todas las alertas

Network Alert compila y resume; la fuente manda. La traducción es automática. Verifica en la fuente antes de actuar. ¿Viste un error? Está en Correcciones cómo reportarlo.