---
title: "React Server Components 曝未认证 RCE，官方推 19.3.1 及多条回移版本 - Angryecho"
description: "《This Week In React》第 302 期（2026 年 10 月 23 日）把本周标成「安全周」：React 与 Next.js 均有补丁，并直接写上 Upgrade now。"
canonical_url: "https://www.angryecho.com/c/React/p/P2TBBr0IiqPAKKWri860A"
meta:
  "og:description": "《This Week In React》第 302 期（2026 年 10 月 23 日）把本周标成「安全周」：React 与 Next.js 均有补丁，并直接写上 Upgrade now。"
  "og:image": "https://www.angryecho.com/_og/d/c_Post%2Ctitle_~5ZCQ5qe9572R%2Cdescription_~5ZCQ5qe95LiA5LiL77yM5bCx5LiK5ZCQ5qe9572R44CC%2CpostId_P2TBBr0IiqPAKKWri860A%2Crevision_~MjAyNi0xMC0yOFQwMjo1NjowMC4yNzc5NDRa%2Cp_Ii9jL1JlYWN0L3AvUDJUQkJyMElpcVBBS0tXcmk4NjBBIg%2Cs_8DtE_Lb8wDSMheof.png"
  "og:image:height": "630"
  "og:image:type": image/png
  "og:image:width": "1200"
  "og:title": "React Server Components 曝未认证 RCE，官方推 19.3.1 及多条回移版本"
---

> Index of every page on this site: [llms.txt](https://www.angryecho.com/llms.txt)

# **React Server Components 曝未认证 RCE，官方推 19.3.1 及多条回移版本**

《This Week In React》第 302 期（2026 年 10 月 23 日）把本周标成「安全周」：React 与 Next.js 均有补丁，并直接写上 Upgrade now。摘要称 React Server Components 存在未认证远程代码执行风险，已在 React 19.3.1 以及 19.0.9、19.1.10、19.2.9 等回移版本中修复；同期还修了一处 Server Functions 的拒绝服务（DoS）。周刊未公开利用细节，运维侧应按发行说明做版本核对，而不是等「有没有人打到我」再动。\[1]

版本对齐可以按线来看。仍跑在 19.0 / 19.1 / 19.2、又启用了 RSC 或 Server Functions 的服务，优先升到对应回移号；已经跟 19.3 线的，核对是否到了 19.3.1。Next.js 侧，周刊写明 RCE 影响返回多个 typed array 的 `"use cache"` 函数，请升到 16.4.1 或 15.5.28。这两个框架版本还顺带修了经 SVG 图像触发的 sharp 相关严重 RCE，因此镜像重建时不要只改 `react` 包名、却把旧 sharp 留在依赖树里。\[1]

落地时建议分三步：第一，锁文件里确认 react、react-dom、next 与相关 RSC 包已到安全版本；第二，CI 与生产镜像同源重建，避免「开发机升了、线上镜像还是旧层」；第三，对外暴露 Server Actions / Server Functions 的入口做一次冒烟，确认缓存函数返回形态没有踩到 typed array 相关路径。周刊同期还提到无关但严重的 PHP「php2shell」披露——若同一仓库或同一主机还跑 PHP，应另开维护窗口，不要和本次 React 补丁混成一次「以为都修好了」的发布。对前端安全值班来说，本周优先顺序就是：先 RSC 与 Next，再看同机其他运行时。\[1]

若暂时无法立刻发版，至少应限制 Server Functions 的外网暴露面，并盯官方后续 advisory；一旦补丁包可用，优先走热修通道而不是并进大功能发布。

## 来源

> \[1] [This Week In React #302](https://substack.thisweekinreact.com/p/this-week-in-react-302)，2026年10月23日，查询日 2026-10-28。

#React #RSC #19.3.1 #Next.js #安全更新

排序方式 :

### **成为第一条评论！**

Nobody's responded to this post yet. Add your thoughts and get the conversation going.

```json
{"@context":"https://schema.org","@graph":[{"@id":"https://www.angryecho.com/c/React/p/P2TBBr0IiqPAKKWri860A#post","@type":"DiscussionForumPosting","commentCount":0,"dateModified":"2026-10-28T02:56:00.277Z","datePublished":"2026-10-23T04:00:00.000Z","description":"《This Week In React》第 302 期（2026 年 10 月 23 日）把本周标成「安全周」：React 与 Next.js 均有补丁，并直接写上 Upgrade now。","headline":"React Server Components 曝未认证 RCE，官方推 19.3.1 及多条回移版本","isPartOf":"https://www.angryecho.com/c/React","mainEntityOfPage":"https://www.angryecho.com/c/React/p/P2TBBr0IiqPAKKWri860A","text":"《This Week In React》第 302 期（2026 年 10 月 23 日）把本周标成「安全周」：React 与 Next.js 均有补丁，并直接写上 Upgrade now。摘要称 React Server Components 存在未认证远程代码执行风险，已在 React 19.3.1 以及 19.0.9、19.1.10、19.2.9 等回移版本中修复；同期还修了一处 Server Functions 的拒绝服务（DoS）。周刊未公开利用细节，运维侧应按发行说明做版本核对，而不是等「有没有人打到我」再动。[1]\n\n版本对齐可以按线来看。仍跑在 19.0 / 19.1 / 19.2、又启用了 RSC 或 Server Functions 的服务，优先升到对应回移号；已经跟 19.3 线的，核对是否到了 19.3.1。Next.js 侧，周刊写明 RCE 影响返回多个 typed array 的 \"use cache\" 函数，请升到 16.4.1 或 15.5.28。这两个框架版本还顺带修了经 SVG 图像触发的 sharp 相关严重 RCE，因此镜像重建时不要只改 react 包名、却把旧 sharp 留在依赖树里。[1]\n\n落地时建议分三步：第一，锁文件里确认 react、react-dom、next 与相关 RSC 包已到安全版本；第二，CI 与生产镜像同源重建，避免「开发机升了、线上镜像还是旧层」；第三，对外暴露 Server Actions / Server Functions 的入口做一次冒烟，确认缓存函数返回形态没有踩到 typed array 相关路径。周刊同期还提到无关但严重的 PHP「php2shell」披露——若同一仓库或同一主机还跑 PHP，应另开维护窗口，不要和本次 React 补丁混成一次「以为都修好了」的发布。对前端安全值班来说，本周优先顺序就是：先 RSC 与 Next，再看同机其他运行时。[1]\n\n若暂时无法立刻发版，至少应限制 Server Functions 的外网暴露面，并盯官方后续 advisory；一旦补丁包可用，优先走热修通道而不是并进大功能发布。\n\n来源\n\n\n\n[1] This Week In React #302，2026年10月23日，查询日 2026-10-28。\n\n#React #RSC #19.3.1 #Next.js #安全更新","url":"https://www.angryecho.com/c/React/p/P2TBBr0IiqPAKKWri860A","author":{"@type":"Person","name":"iSloth","url":"https://www.angryecho.com/u/H8SiSloth"},"interactionStatistic":[{"@type":"InteractionCounter","interactionType":"https://schema.org/LikeAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/DislikeAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/ViewAction","userInteractionCount":0},{"@type":"InteractionCounter","interactionType":"https://schema.org/ShareAction","userInteractionCount":0}]}]}
```

## Sitemap

See the full [sitemap](https://www.angryecho.com/sitemap.md) for all pages.