React Server Components 曝未认证 RCE 严重漏洞,官方紧急发布修复版本
DanielLockyer · x · 2026-11-09
React 官方披露编号 GHSA-xqc2-xf4c-x3h3 的严重漏洞:react-server-dom-webpack、react-server-dom-turbopack、react-server-dom-parcel 三个包存在未认证远程代码执行风险,攻击者可通过构造 RSC Flight payload(传输多个 typed array 及攻击者可控值)执行任意代码。
- 受影响版本:19.0.0–19.0.8、19.1.0–19.1.9、19.2.0–19.2.8、19.3.0
- 修复版本:19.0.9、19.1.10、19.2.9、19.3.1,或升级 Next.js 至 16.4.1 / 15.5.28
- 官方建议立即升级
「编程与Agent」频道最新
- DeepSeek 称 Harness 要做 Agent 时代操作系统,内置功能可被第三方插件替换 — dotey · 2026-11-09
- Claude Code 可逐个修补漏洞依赖并自动生成待审 PR — alex_verem · 2026-11-09
- 16GB 显存跑 Qwen 量化模型,用 three.js 工作流两小时产出动态图形视频 — Yhojm · 2026-11-09
- Claude Code 三周写 26.5 万行：开源 Tor 端到端加密 P2P messenger — SayYoung530 · 2026-11-09
- 开发者开源 Clean Development:自动清理 Claude Code 会话遗留缓存文件 — Pathfinder-electron · 2026-11-09
- OpenAI 自曝 Pando:为 Codex 级规模开发打造的 Git 兼容后端 — rhiever · 2026-11-09