نشرت React في 14 أكتوبر 2026 نشرة أمنية على GitHub عن ثغرة حرجة في React Server Components تسمح بتنفيذ أوامر عن بعد على الخادم دون مصادقة، وحددت فيها إصدارات الإصلاح لكل فروع الإصدار 19 المتأثرة، وأوصت بالتحديث فوراً.
وتقيم React الثغرة بدرجة 9.5 من 10 بمعيار CVSS 4.0، ولم تذكر لها معرف CVE، وتحمل النشرة الرقم GHSA-xqc2-xf4c-x3h3، وتنسب اكتشافها إلى باحث باسم evolutionstorm.
وبحسب النشرة، يمكن لحمولات معدة تستهدف أطر العمل التي تدعم React Server Components أن تؤدي إلى تنفيذ أوامر عن بعد، لكن ذلك يقتصر على حالات نادرة جداً تنقل فيها الاستجابة عدة مصفوفات من نوع typed arrays مع قيمة يتحكم بها المهاجم. الهجوم لا يحتاج صلاحيات ولا تفاعلاً من المستخدم، لكنه يحتاج شروطاً مسبقة في التطبيق المستهدف.
أبرز أخبار الأمن السيبراني في السعودية والعالم، كل أسبوع في بريدك.
والحزم المتأثرة ثلاث: react-server-dom-webpack وreact-server-dom-parcel وreact-server-dom-turbopack، في الإصدارات من 19.0.0 إلى 19.0.8، ومن 19.1.0 إلى 19.1.9، ومن 19.2.0 إلى 19.2.8، والإصدار 19.3.0. والإصلاح في الإصدارات 19.0.9 و19.1.10 و19.2.9 و19.3.1، ولا تذكر النشرة حلاً مؤقتاً غير التحديث.
وتحدد React ما يقع خارج دائرة الخطر: التطبيق الذي لا يشغل كود React على خادم غير متأثر، وكذلك التطبيق الذي لا يستخدم إطار عمل أو أداة تجميع أو إضافة تدعم React Server Components. أي أن استخدام React في واجهة المتصفح وحدها لا يجعل التطبيق عرضة للثغرة.
وفي اليوم نفسه أصدر فريق Next.js تحديثاً أمنياً خارج موعده المعتاد بالإصدارين 16.4.1 و15.5.28، عالج فيه ثغرة حرجة لتنفيذ الأوامر عن بعد دون مصادقة في التطبيقات التي تستخدم App Router مع Cache Components، حين تعيد دالة use cache عدة مصفوفات typed arrays، وأدرج نشرة React مرجعاً مرتبطاً بها. وقال الفريق إنه لا حل مؤقتاً للتطبيقات المتأثرة، ونصح بالتحديث فوراً حتى للتطبيقات التي لا تحتوي دوالاً مشابهة.
وشمل تحديث Next.js ثغرتين أخريين: تنفيذ أوامر عن بعد في واجهة تحسين الصور عند معالجة ملفات SVG على أنظمة Linux المبنية على glibc، وحجب خدمة في التطبيقات التي تستخدم Server Actions.
وليست هذه أول ثغرة حرجة في الحزم الثلاث نفسها. ففي 3 ديسمبر 2025 أعلنت React ثغرة حرجة بتقييم 10، وكانت تسمح لمهاجم غير مصادق بتنفيذ أوامر على الخادم عبر طلب HTTP معد يرسل إلى نقاط Server Functions، وتبعتها ثغرات مرتبطة. وعرفت تلك الثغرة باسم React2Shell، ثم استغلها مهاجمون لاحقاً في حملة لاعتراض حركة الويب عبر خوادم NGINX. ولا تربط نشرة أكتوبر الثغرة الجديدة بثغرة ديسمبر، ولم تذكر React ولا Next.js أي استغلال فعلي لها حتى الآن.
