# React Server Components : une exécution de code à distance critique

Source canonique : [React Server Components : une exécution de code à distance critique](<https://sebastien.rigaux.be/veille/liens/react-server-components-une-execution-de-code-a-distance-critique>)

Une faille critique permet l’exécution de code à distance sans authentification dans certaines applications utilisant React Server Components. Elle concerne `react-server-dom-webpack`, `react-server-dom-parcel` et `react-server-dom-turbopack` dans les versions indiquées par l’avis, avec un score CVSS de 9,5.

Le scénario décrit reste rare : il nécessite des réponses transportant plusieurs tableaux typés et une valeur contrôlée par l’attaquant. Les applications React sans serveur ne sont pas concernées, pas plus que celles qui n’utilisent pas de framework, bundler ou plugin prenant en charge les Server Components. Les correctifs sont disponibles en 19.0.9, 19.1.10, 19.2.9 et 19.3.1 ; les déploiements concernés doivent être mis à jour immédiatement.

- Sélectionné le : 2026-10-23

- Publication de la ressource : 2026-10-14

- Mise à jour de la fiche : 2026-11-07T20:32:37+0000

- Format : Article

- Langue de la source : EN

- Crédit : mattcarrollcode

- Repéré via : [JavaScript Weekly](<https://javascriptweekly.com/>)

Ressource originale : [React Server Components : une exécution de code à distance critique](<https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3?ck_subscriber_id=2550494205&utm_source=convertkit&utm_medium=email&utm_campaign=%E2%9A%9B%EF%B8%8F%20This%20Week%20In%20React%20%23302%3A%20Next.js%2C%20React%20Router%2C%20DevTools%2C%20Security%2C%20shadcn%2C%20Hydrogen%2C%20Vinext%2C%20Mutative%2C%20R3F%20%7C%20RN%200.88%2C%20Expo%2058%2C%20Navigation%2C%20FastImage%2C%20Screens%2C%20Device%20Hub%2C%20Edge%20to%20Edge%20%7C%20TypeScript%2C%20PHP%2C%20CrUX%2C%20Rsdoctor%2C%20Astro%20-%2023823401>)

Tags : [React Server Components](<https://sebastien.rigaux.be/veille/tags/react-server-components>) · [React](<https://sebastien.rigaux.be/veille/tags/react>) · [Security](<https://sebastien.rigaux.be/veille/tags/security>)

Versions disponibles : [Français](<https://sebastien.rigaux.be/veille/liens/react-server-components-une-execution-de-code-a-distance-critique>) · [English](<https://sebastien.rigaux.be/en/tech-watch/links/react-server-components-critical-remote-code-execution-flaw>)

[Retour à la veille](<https://sebastien.rigaux.be/veille>)