Baru-baru ini ditemukan celah keamanan kritis di protokol Server Components milik React — yang diikuti sebagai bug di Next.js (CVE-2025-66478 / React2Shell), memungkinkan eksekusi kode jarak jauh tanpa autentikasi. Paket dan versi yang terdampak:
react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack — versi 19.0, 19.1.0/1, 19.2.0Versi aman / perbaikan tersedia:
Semua pengguna React/Next.js yang menggunakan Server Components atau App Router sangat disarankan untuk segera memperbarui agar terhindar dari risiko remote-code-execution.