Publican el CVE-2026-126187 para una vulnerabilidad crítica en React Server Components 10 de noviembre de 2026
Fuente: el GitHub Advisory Database publicó el aviso de React el 10 de noviembre y el registro de CVE.org también tiene esa fecha. El aviso original en el repositorio de React se publicó el 14 de octubre. GitHub Advisory Database: React Server Components < >
El Resumen (Sin rodeos)
CVE-2026-126187 identifica una vulnerabilidad de ejecución remota de código en tres paquetes de React Server Components: react-server-dom-webpack, react-server-dom-parcel y react-server-dom-turbopack. El GitHub Advisory Database la califica como crítica, con 9,5 sobre 10 en CVSS 4.0. Los rangos afectados son 19.0.0 - 19.0.8, 19.1.0 - 19.1.9, 19.2.0 - 19.2.8 y 19.3.0; las versiones corregidas son 19.0.9, 19.1.10, 19.2.9 y 19.3.1.
El aviso de React explica que cargas manipuladas dirigidas a frameworks compatibles con React Server Components pueden ejecutar código en el servidor. La condición descrita es poco frecuente: la respuesta debe transportar varios typed arrays junto con un valor controlado por un atacante. No afecta a aplicaciones cuyo código React no corre en el servidor, ni a las que no usan un framework, bundler o plugin compatible con React Server Components.
La fecha nueva es la publicación del identificador CVE y de la ficha en la base de datos: el aviso de React ya estaba publicado desde el 14 de octubre. Iván Pérez afirma que Dependabot no marcaba la vulnerabilidad hasta el día anterior; las fuentes oficiales consultadas confirman la fecha de publicación de la ficha, pero no corroboran cuándo empezaron a aparecer alertas de Dependabot en repositorios concretos.
Next.js publicó un aviso propio para una vulnerabilidad relacionada: GHSA-673q-mjm6-r5xr lista como afectadas las versiones 16.0.0 a 16.4.0 y como corregida la 16.4.1. Su descripción especifica el App Router con Cache Components y una función `use cache` que devuelve varios typed arrays. Es un aviso separado del CVE de React. Aviso de seguridad de Next.js < > · Registro CVE-2026-126187 < > · Actualización de seguridad de Next.js del 14 de octubre < >
Lo primero que se me viene a la mente
El 9,5 impone respeto, pero el aviso también pone límites claros: no es cualquier página hecha con React la que queda expuesta. La combinación vulnerable pasa por componentes de servidor y una condición técnica bastante específica. Si esa combinación existe, los parches están identificados; revisar el árbol de dependencias es más útil que entrar en pánico por el nombre del framework.
¿Quién es quién en la noticia?
- React - Biblioteca de JavaScript para interfaces; los paquetes afectados
implementan React Server Components.
- React Server Components - Funcionalidad que permite ejecutar componentes
de React en el servidor.
- GitHub Advisory Database - Base de datos de avisos de seguridad de
GitHub; su ficha documenta versiones afectadas, parches y severidad.
- CVE - Identificador público de una vulnerabilidad. CVE-2026-126187 fue
publicado el 10 de noviembre de 2026.
- CVSS - Sistema que puntúa la severidad de vulnerabilidades; en este caso
la ficha reporta 9,5 de 10 en la versión 4.0.
- Next.js - Framework de Vercel para aplicaciones React. Su aviso
GHSA-673q-mjm6-r5xr describe una vulnerabilidad propia relacionada y fija 16.4.1 como versión corregida.
- Iván Pérez - Autor del post de X que difundió la publicación del CVE; su
afirmación sobre el momento exacto de las alertas de Dependabot no quedó confirmada en las fuentes oficiales consultadas.
Post original de Iván Pérez:
Compartir