CVE-2026-23869

A denial of service vulnerability exists in React Server Components, affecting the following packages: react-server-dom-parcel, react-server

CVSS 3.1High

7.5/ 10.0

Опубликовано

8 апреля 2026 г.

Обновлено

15 июля 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 19.0.5, 19.1.6, 19.2.5

Обновите затронутые библиотеки сборки React Server Components до версий 19.0.5, 19.1.6, 19.2.5 или новее.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

DoS-состояние в React Server Components с блокировкой потока исполнения до одной минуты.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Передача специально подготовленного полезного payload в HTTP-запросе к эндпоинтам Server Function в react-server-dom-parcel, react-server-dom-turbopack и react-server-dom-webpack.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Зависание цикла событий и паразитная нагрузка на CPU длительностью до 60 секунд на каждый запрос до момента генерации перехватываемой ошибки.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Metareact-server-dom-turbopack

>= 19.0.0➔Патч не выпущен

Metareact-server-dom-turbopack

>= 19.1.0➔Патч не выпущен

Metareact-server-dom-turbopack

>= 19.2.0➔Патч не выпущен

Metareact-server-dom-parcel

>= 19.0.0➔Патч не выпущен

Metareact-server-dom-parcel

>= 19.1.0➔Патч не выпущен

Metareact-server-dom-parcel

>= 19.2.0➔Патч не выпущен

Metareact-server-dom-webpack

>= 19.0.0➔Патч не выпущен

Metareact-server-dom-webpack

>= 19.1.0➔Патч не выпущен

Metareact-server-dom-webpack

>= 19.2.0➔Патч не выпущен

——

>= 19.0.0➔Fix: 19.0.5

——

>= 19.1.0➔Fix: 19.1.6

——

>= 19.2.0➔Fix: 19.2.5

——

>= 19.0.0➔Fix: 19.0.5

——

>= 19.1.0➔Fix: 19.1.6

——

>= 19.2.0➔Fix: 19.2.5

——

>= 19.0.0➔Fix: 19.0.5

——

>= 19.1.0➔Fix: 19.1.6

——

>= 19.2.0➔Fix: 19.2.5

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-23869: A denial of service vulnerability exists in React Server Components, affecting the following packages: react-server-dom-parcel, react-server. URL: https://cve.futuretools.ru/cve/CVE-2026-23869

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_23869,
  title = {{CVE-2026-23869: A denial of service vulnerability exists in React Server Components, affecting the following packages: react-server-dom-parcel, react-server}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-23869}},
  note = {Оперативный инженерный анализ киберугроз}
}