Baru-baru ini ditemukan celah keamanan kritis di protokol Server Components milik React — yang diikuti sebagai bug di Next.js (CVE-2025-66478 / React2Shell), memungkinkan eksekusi kode jarak jauh tanpa autentikasi. Paket dan versi yang terdampak:

• react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack — versi 19.0, 19.1.0/1, 19.2.0
• Next.js versi 15.x, 16.x, serta 14.3.0-canary.77 ke atas (canary builds) yang menggunakan App Router + RSC.

Versi aman / perbaikan tersedia:

• Untuk paket React-RSC: gunakan versi 19.0.1, 19.1.2, atau 19.2.1.
• Untuk Next.js: upgrade ke salah satu versi berikut — 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, atau 16.0.7.

Semua pengguna React/Next.js yang menggunakan Server Components atau App Router sangat disarankan untuk segera memperbarui agar terhindar dari risiko remote-code-execution.