React Server Components 存在拒绝服务漏洞

攻击者利用此漏洞发送特制的 HTTP 请求，可以导致受影响的 react-server-dom-parcel 应用程序的 Server Function 端点出现持续的 CPU 占用率峰值，持续时间长达一分钟。这种高负载会耗尽服务器资源，导致应用程序响应缓慢甚至完全崩溃，从而造成拒绝服务。由于该漏洞涉及 Server Function，攻击者可能能够影响整个应用程序的可用性，特别是如果 Server Function 负责关键业务逻辑。此漏洞的潜在影响包括服务中断、数据不可用以及用户体验下降。虽然描述中提到错误是可捕获的，但持续的 CPU 占用仍然会造成严重影响。

Applications utilizing React Server Components and relying on the vulnerable react-server-dom-parcel, react-server-dom-turbopack, or react-server-dom-webpack packages are at risk. This includes projects using modern React development workflows and those deploying Server Functions to handle backend logic. Specifically, teams with limited resources or those running applications on shared hosting environments are particularly vulnerable due to the potential for resource exhaustion.

• nodejs / server: Monitor CPU utilization on servers running react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. Look for sustained high CPU usage without corresponding user activity.

  top -n 1 | grep -E 'react-server-dom-parcel|react-server-dom-turbopack|react-server-dom-webpack'

• nodejs / server: Examine application logs for errors related to excessive CPU usage or exceptions thrown within Server Function endpoints.

grep -i 'cpu usage|server function error' /var/log/app/application.log

• generic web: Monitor HTTP request patterns to Server Function endpoints for unusual activity, such as a sudden surge in requests from a single IP address.

  curl -v <server_function_endpoint> # Examine request/response headers for anomalies

1. 2026-04-10Disclosure

   disclosure

1. 已保留2026-01-16
2. 发布日期2026-04-10
3. EPSS 更新日期2026-04-16

解决 CVE-2026-23869 的主要方法是立即升级 react-server-dom-parcel 到 19.0.5 或更高版本。如果升级导致应用程序出现问题，可以考虑回滚到之前的稳定版本，但请注意这只是临时解决方案。此外，可以考虑使用 Web 应用程序防火墙 (WAF) 或反向代理来过滤掉潜在的恶意 HTTP 请求，从而减轻攻击风险。虽然没有提供具体的 WAF 规则，但可以尝试阻止包含异常模式或已知攻击负载的请求。升级后，请验证应用程序是否正常运行，并检查 CPU 占用率是否恢复到正常水平。