React披露RSC高危远程代码执行漏洞

React 于 2026 年 10 月 14 日发布安全公告 GHSA-xqc2-xf4c-x3h3，披露 React Server Components 存在 CVSS v4 9.5 的严重漏洞，攻击者无需账号权限、无需用户交互即可通过特制 payload 触发远程代码执行，React 建议受影响应用立即升级受影响的包（react-server-dom-webpack/parcel/turbopack）。 利用该漏洞需要一种极罕见的响应模式，涉及多个 typed array 和一个由攻击者控制的值；没有服务端 React 代码的应用不受影响，未使用支持 React Server Components 的框架、打包器或插件的应用同样不受影响。公告未声称该漏洞已被在野利用。

AI 根据报道生成 · 57 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。