Berita Keamanan Informasi

Ditemukan kerentanan deserialisasi data tidak tepercaya (Insecure Deserialization) pada paket React Server Components, yaitu react-server-dom-webpack, react-server-dom-parcel, dan react-server-dom-turbopack. Kerentanan disebabkan oleh kesalahan pemrosesan data yang memungkinkan payload khusus memicu eksekusi kode jarak jauh (Remote Code Execution/RCE) pada server aplikasi.

Celah ini dapat dieksploitasi dari jarak jauh tanpa autentikasi melalui endpoint React Server Components atau Server Actions yang dapat diakses publik. Eksploitasi berpotensi memberikan akses kepada penyerang untuk menjalankan kode pada server aplikasi, bahkan memungkinkan akses lebih lanjut ke layanan internal yang terhubung. Kerentanan ini tidak berdampak pada aplikasi React yang hanya berjalan di sisi klien (client-side only). Hingga informasi ini diterbitkan, belum terdapat laporan eksploitasi aktif maupun kode Proof of Concept (PoC) publik.

Produk Terdampak:
Paket react-server-dom-webpack, react-server-dom-parcel, dan react-server-dom-turbopack dengan versi:

• 19.0.0 hingga sebelum 19.0.9.

• 19.1.0 hingga sebelum 19.1.10.

• 19.2.0 hingga sebelum 19.2.9.

• Versi 19.3.0.

Langkah Mitigasi:

1. Segera memperbarui paket React Server Components ke versi 19.0.9, 19.1.10, 19.2.9, atau 19.3.1 sesuai cabang versi yang digunakan.

2. Melakukan pemeriksaan dependensi framework, termasuk Next.js, untuk memastikan tidak terdapat paket React Server Components yang masih rentan.

3. Memperbarui runtime server, seperti Node.js, ke versi terbaru yang didukung.

4. Melakukan pemindaian dependensi aplikasi (dependency scanning) untuk mengidentifikasi komponen dan pustaka yang terdampak.

   Sumber : https://idsirtii.bssn.go.id/publications/advisories/security-advisory-kerentanan-pada-react-server-components-cve-2026-126187