Em 14 de outubro a equipe do React publicou o aviso de segurança GHSA-xqc2-xf4c-x3h3, que descreve uma falha crítica capaz de levar à execução remota de código em aplicações construídas com React Server Components. O aviso classifica como alto o impacto sobre privacidade dos dados, integridade e disponibilidade, e não recebeu identificador CVE, de modo que o acompanhamento é feito pelo código do GitHub Security Advisory.
A exploração depende de cargas especialmente construídas enviadas a frameworks que oferecem suporte aos React Server Components. A condição de risco descrita no aviso é a resposta que carrega vários arrays tipados ao lado de dados controlados pelo atacante. Arrays tipados são estruturas que guardam dados numéricos em formatos definidos, e nem o aviso nem a cobertura publicada detalham o caminho entre eles e a execução de código.
O que torna a falha grave é o que ela dispensa. Não é preciso ter conta na aplicação, nem privilégio algum, nem qualquer interação da pessoa que usa o sistema. Um atacante remoto alcança a execução de código no servidor apenas enviando a requisição certa, o que remove as barreiras que normalmente limitam esse tipo de ataque a quem já entrou.
Os pacotes afetados são o react-server-dom-webpack, o react-server-dom-parcel e o react-server-dom-turbopack, que fazem a ponte do React com cada um desses empacotadores no lado servidor. As versões vulneráveis vão da 19.0.0 até a 19.0.8, da 19.1.0 até a 19.1.9, da 19.2.0 até a 19.2.8, além da 19.3.0.
As versões corrigidas são a 19.0.9, a 19.1.10, a 19.2.9 e a 19.3.1. A recomendação da equipe do React é atualizar os pacotes imediatamente e conferir a versão instalada contra a faixa oficial do aviso, em vez de guias antigos de correção. Nenhuma mitigação alternativa foi publicada para quem não tiver como atualizar de imediato.
Nem toda aplicação que usa React está exposta. Quem não executa código React no servidor não é afetado, assim como quem não usa framework, empacotador ou plugin com suporte a React Server Components. A verificação prática é olhar quais pacotes server-dom estão instalados no projeto e em que versão, porque é a presença deles que define o risco, não o uso do React em si.
O aviso de outubro não é o React2Shell, registrado como CVE-2025-55182, e ataques contra aquela falha não comprovam exploração desta. Até a publicação da cobertura não havia relato público de exploração ativa deste caso. A equipe do React também associou ao mesmo padrão vulnerabilidades do Next.js, entre elas um problema em Cache Components que envolve múltiplos arrays tipados, o que indica uma classe de erro mais ampla do que um pacote isolado.
