Een ernstige beveiligingskwetsbaarheid, aangeduid als CVE-2026-23870, is ontdekt in React Server Components. Deze kwetsbaarheid, geclassificeerd met een CVSS-score van 7,5 en ondergebracht onder CWE-400 (onbeheersbare hulpbronnenconsumptie), treft met name React 19.x-applicaties. Dit omvat veel Next.js-implementaties die gebruikmaken van Server Actions, specifiek de versies React 19.0.0 tot 19.0.5, 19.1.0 tot 19.1.6, en 19.2.0 tot 19.2.5.

Het probleem ontstaat doordat React ingediende formuliergegevens herbouwt vóór de uitvoering van een Server Action. Dit gebeurt met name wanneer speciale verwijzingen, gemarkeerd met $K in React's form-data-formaat, worden verwerkt. Elke $K-verwijzing vereist dat React de volledige lijst van ingediende velden opnieuw scant om de geneste structuur te reconstrueren. Dit proces kan extreem rekenintensief worden bij een groot aantal verwijzingen en velden. Een proof-of-concept toonde aan dat een POST-verzoek van ongeveer 900 KB, met tienduizenden verwijzingen en formuliervelden, kan leiden tot honderden miljoenen stringvergelijkingen en daarmee de server kan overbelasten.

Dit probleem is niet gerelateerd aan de grootte van het verzoek, maar aan de herhaalde verwerking die React uitvoert. De kwetsbaarheid treedt op voordat de Server Action-logica wordt uitgevoerd, waardoor beveiligingsmaatregelen binnen de actie zelf nutteloos zijn om het te voorkomen. Een externe aanvaller hoeft geen toegang te hebben tot de applicatie; door een speciaal vervaardigd POST-verzoek naar een Server Function-eindpunt te sturen, kan de server vastlopen. De aanvaller kan de server dwingen tot vele herhaalde controles, wat resulteert in een hoog CPU-gebruik en het niet meer reageren op normale bezoekers.

In Next.js-implementaties die op Node.js draaien, kan deze CPU-intensieve synchrone verwerking de event loop blokkeren. Dit heeft tot gevolg dat de server andere inkomende verzoeken niet tijdig kan verwerken, waardoor legitieme gebruikers trage paginaladingen, verzoek time-outs of HTTP 503-fouten ervaren. Herhaalde kwaadaardige POST-verzoeken kunnen een applicatie-instantie lang genoeg onbeschikbaar houden om te voorkomen dat health checks of load balancers deze uit de roulatie halen. Publiekelijk bereikbare Server Actions zijn het meest kwetsbaar, maar geauthenticeerde applicaties kunnen ook getroffen worden als normale gebruikers het kwetsbare eindpunt kunnen bereiken.

React heeft het probleem opgelost in versies 19.0.6, 19.1.7 en 19.2.6 door het verwerkingspad voor form-data aan te passen. Hierdoor worden velden slechts eenmaal gescand en verwerkt. Teams wordt geadviseerd om React en de relevante React Server Components-pakketten bij te werken naar de gefixeerde releases, applicatie-artefacten te herbouwen en getroffen omgevingen opnieuw te implementeren. Next.js-gebruikers moeten hun opgeloste afhankelijkheidsboom controleren, aangezien getroffen React server-dom-pakketten deel kunnen uitmaken van framework-afhankelijkheden, vooral bij gebruik van de App Router, React Server Components of Server Actions.

Aanvullend wordt geadviseerd om edge- en reverse-proxy-controles te beoordelen, zoals POST-body-limieten, aanvraagfrequentiecontroles en time-outs, hoewel het patchen van React de primaire oplossing blijft. Beheerders wordt aangeraden te letten op ongebruikelijke POST-activiteit naar pagina's met Server Actions, zoals pieken in multipart form-data verzoeken, hoog CPU-gebruik zonder overeenkomend applicatieverkeer, groeiende verzoekwachtrijen en herhaalde mislukte health checks.