Se ha descubierto una vulnerabilidad de alta gravedad en los Componentes del Servidor de React, que expone las aplicaciones web modernas a ataques de Denegación de Servicio (DoS). Registrada como CVE-2026-23869, esta falla permite a atacantes remotos no autenticados agotar los recursos del servidor backend mediante solicitudes de red especialmente diseñadas. El Aviso de Seguridad de GitHub califica esta vulnerabilidad como de gravedad Alta.

Se ha descubierto una vulnerabilidad de alta gravedad en los React Server Components, exponiendo a las aplicaciones web modernas a ataques de Denegación de Servicio (DoS).

Registrada como CVE-2026-23869, esta falla permite a atacantes remotos no autenticados agotar los recursos del servidor backend mediante solicitudes de red especialmente diseñadas.

El GitHub Security Advisory califica esta vulnerabilidad como de alta gravedad. Debido a que el ataque requiere baja complejidad, no necesita interacción del usuario ni privilegios elevados,

representa un riesgo inmediato para los entornos de producción que utilizan paquetes vulnerables de React en el servidor.

Mecanismo del ataque

La vulnerabilidad afecta la forma en que los React Server Components procesan los datos entrantes en los endpoints de Server Function.

Un atacante puede explotar este vector enviando una solicitud HTTP maliciosamente diseñada directamente a través de la red a estos endpoints específicos.

Cuando el servidor recibe esta carga útil, desencadena dos debilidades de seguridad distintas:

• La deserialización de datos no confiables (CWE-502) permite al sistema procesar entradas potencialmente peligrosas sin una validación adecuada.
• El consumo no controlado de recursos (CWE-400) ocurre cuando el servidor intenta manejar la carga compleja o malformada.

Esta combinación fuerza al servidor a un uso excesivo de la CPU durante hasta un minuto completo.

Aunque el evento finalmente termina en un error controlable en lugar de un fallo crítico, el pico prolongado de CPU degrada el rendimiento de la aplicación y bloquea el acceso a usuarios legítimos.

La vulnerabilidad reside en los paquetes principales responsables de manejar el renderizado del lado del servidor y el enrutamiento de componentes. La falla afecta a las ramas de lanzamiento 19.0, 19.1 y 19.2.

Los siguientes paquetes npm contienen la vulnerabilidad:

• react-server-dom-parcel (versiones 19.0.0 a 19.0.4, 19.1.0 a 19.1.5 y 19.2.0 a 19.2.4).
• react-server-dom-turbopack (versiones 19.0.0 a 19.0.4, 19.1.0 a 19.1.5 y 19.2.0 a 19.2.4).
• react-server-dom-webpack (versiones 19.0.0 a 19.0.4, 19.1.0 a 19.1.5 y 19.2.0 a 19.2.4).

No todas las aplicaciones React están expuestas a esta amenaza. La arquitectura de tu proyecto específico determina tu nivel de exposición a la vulnerabilidad.

Tu aplicación está completamente segura si tu código React opera exclusivamente en el lado del cliente sin componentes en el servidor.

Además, si tu aplicación no utiliza un framework, empaquetador o plugin que soporte explícitamente React Server Components, tu infraestructura no se ve afectada.

El equipo de mantenimiento de React ha aplicado con éxito correcciones de seguridad para abordar la falla de agotamiento de recursos.

Los equipos de desarrollo en GitHub deben auditar sus dependencias y actualizar inmediatamente para restaurar la seguridad. Para mitigar la vulnerabilidad, actualiza tus paquetes afectados a las siguientes versiones seguras: 19.0.5, 19.1.6, 19.2.5.