ช่องโหว่ CVE-2026-23870 ใน React Server Components — คำขอ POST เดียวขนาดราว 900 KB ทำให้เซิร์ฟเวอร์ Next.js ค้างหลายวินาที ก่อนถึงขั้นตรวจสิทธิ์ของ Server Action
ช่องโหว่ CVE-2026-23870 (CVSS 7.5) ใน React Server Components ทำให้ผู้โจมตีส่งคำขอ multipart POST ที่มีการอ้างอิง $K จำนวนมาก บังคับเซิร์ฟเวอร์เปรียบเทียบสตริงแบบกำลังสองจนเธรด event loop ของ Node.js ค้าง คำขอขนาดราว 900 KB สร้างการตรวจราว 100 ล้านครั้ง การแยกข้อมูลเกิดก่อนการตรวจสิทธิ์ของ Server Action จึงอาจไม่ต้องล็อกอิน กระทบ React 19.0 ถึง 19.2 ที่ใช้ใน Next.js แก้แล้วในเวอร์ชัน 19.0.6, 19.1.7 และ 19.2.6