React Server Components tizimida autentifikatsiyasiz masofadan kod bajariş imkonini beruvçi kritik zaiflik aniqlandi!
React Server Components (RSC) texnologiyasida kiberhujumçilarga heç qanday autentifikatsiyadan ötmasdan, masofadan turib serverda ixtiyoriy kodlarni bajariş imkonini beruvçi kritik zaiflik aniqlandi. Mazkur zaiflikdan muvaffaqiyatli foydalanilgan taqdirda, tajovuzkor serverdagi maʼlumotlarni öqişi, özgartirişi yoki ilova faoliyatiga jiddiy zarar yetkazişi mumkin.
React işlab çiquvçilari tomonidan 2026-yil 14-oktabrda eʼlon qilingan xavfsizlik ogohlantirişida GHSA-xqc2-xf4c-x3h3 identifikatori bilan qayd etilgan uşbu zaiflikka CVSS v4 baholaş tizimi böyiça 9.5 ball berilgan. Bu uning kritik xavf darajasiga ega ekanini anglatadi.
Muammo React Server Components texnologiyasini qöllab-quvvatlaydigan uçta asosiy paket — react-server-dom-webpack, react-server-dom-parcel va react-server-dom-turbopack tarkibida aniqlangan.
Zaiflikning asosiy xavfi şundaki, undan foydalaniş uçun tajovuzkorga tizimda foydalanuvçi hisobiga ega böliş yoki jabrlanuvçining biror havolani bosişi talab etilmaydi. Biroq hujum muvaffaqiyatli amalga oşişi uçun server javoblarida bir neçta maxsus turdagi maʼlumotlar massivlari (Typed Arrays) hamda tajovuzkor tomonidan boşqariladigan qiymat birgalikda uzatilişi kabi öziga xos şartlar mavjud bölişi kerak.
React işlab çiquvçilari mazkur holat nisbatan kam uçraydigan ssenariylarga tegişli ekanini qayd etgan bölsa-da, zaiflikning ehtimoliy oqibatlari jiddiy bölgani sababli tegişli dasturiy paketlarni zudlik bilan yangilaşni tavsiya qilmoqda.
Zaiflikning işlaş mexanizmi
Aniqlangan muammo React Server Components texnologiyasida server va mijoz (brauzer) örtasida maʼlumot almaşiş jarayoni bilan boğliq.
React Server Components — React asosida yaratilgan veb-ilovalarning ayrim qismlarini foydalanuvçi qurilmasida emas, balki server tomonida bajariş imkonini beruvçi texnologiya. Bu yondaşuv maʼlumotlarni serverda qayta işlaş, kerakli natijalarni brauzerga uzatiş va ilovaning işlaş samaradorligini oşirişga xizmat qiladi.
Mazkur texnologiyada server va mijoz örtasidagi maʼlumot almaşinuvi React Server Components protokoli orqali amalga oşiriladi. Uşbu jarayonda Typed Arrays deb ataluvçi maxsus maʼlumot tuzilmalaridan ham foydalaniladi. Ular sonli maʼlumotlarni belgilangan format va hajmda saqlaş hamda uzatiş uçun xizmat qiladi.
Aniqlangan zaiflik aynan şu maʼlumotlarni qayta işlaş va uzatiş mexanizmidagi muayyan holat bilan boğliq.
React xavfsizlik ogohlantirişiga köra, server javobida bir neçta Typed Arrays va tajovuzkor tomonidan boşqariladigan qiymat birgalikda mavjud bölgan ayrim kam uçraydigan holatlarda maxsus şakllantirilgan sörovlar masofadan kod bajarilişiga olib kelişi mumkin.
Boşqaça aytganda, maʼlumotlar massivlarini qayta işlaş jarayonidagi nomuvofiqlik server tomonidan qabul qilingan maʼlumotlarning notöğri talqin qilinişiga va natijada zararli kod bajarilişiga şaroit yaratişi mumkin.
Şuni alohida taʼkidlaş lozimki, React jamoasi oçiq xavfsizlik ogohlantirişida zaiflikning barça texnik tafsilotlari yoki undan foydalaniş böyiça töliq mexanizmni eʼlon qilmagan. Şu sababli, uning işlaş mexanizmini faqat rasmiy ravişda tasdiqlangan maʼlumotlar doirasida baholaş lozim.
Zaiflik CVSS v4 tizimida 9.5 ball bilan baholangan. Bunda tarmoq orqali hujum qiliş imkoniyati mavjudligi, hujumçi uçun tizimda heç qanday imtiyoz talab etilmasligi va foydalanuvçi iştirokisiz hujum amalga oşirilişi mumkinligi hisobga olingan.
Muvaffaqiyatli hujum natijasida tizim maʼlumotlarining maxfiyligi, yaxlitligi va mavjudligi buzilişi mumkin.
Zaiflikdan qaysi versiyalar ta’sirlangan?
React jamoasi eʼlon qilgan maʼlumotlarga köra, zaiflik react-server-dom-webpack, react-server-dom-parcel va react-server-dom-turbopack paketlarining quyidagi versiyalariga taʼsir körsatadi:
| Paket nomi | Zaif versiyalar | Xavfsiz versiyalar |
|---|---|---|
react-server-dom-webpack | 19.0.0–19.0.8, 19.1.0–19.1.9, 19.2.0–19.2.8, 19.3.0 | 19.0.9, 19.1.10, 19.2.9, 19.3.1 |
react-server-dom-parcel | 19.0.0–19.0.8, 19.1.0–19.1.9, 19.2.0–19.2.8, 19.3.0 | 19.0.9, 19.1.10, 19.2.9, 19.3.1 |
react-server-dom-turbopack | 19.0.0–19.0.8, 19.1.0–19.1.9, 19.2.0–19.2.8, 19.3.0 | 19.0.9, 19.1.10, 19.2.9, 19.3.1 |
React xavfsizlik ogohlantirişining matnida 19.0.9 versiyasi ayrim joylarda 19.0.09 şaklida xato körsatilgan. Biroq rasmiy paketlar jadvalida töğri versiya 19.0.9 sifatida qayd etilgan.
Mazkur muammoni bartaraf etiş uçun React işlab çiquvçilari 2026-yil 14-oktabrda tegişli xavfsizlik tuzatişlarini taqdim etdi. Ular maʼlumotlarni uzatiş protokolini takomillaştirişga qaratilgan.
Şu sababli, yuqorida körsatilgan zaif versiyalardan foydalanayotgan işlab çiquvçilar öz loyihalaridagi tegişli paketlarni mos tuzatilgan versiyalarga yangilaşlari lozim.
Qaysi veb-ilovalar xavf ostida?
Mazkur zaiflik React kutubxonasidan foydalanadigan barça veb-sayt va ilovalarga birdek taʼsir qilmaydi. Uning yuzaga kelişi uçun ilovada React Server Components texnologiyasi qöllab-quvvatlanişi va zaif paketlardan foydalanilişi kerak.
Xususan, quyidagi holatlarga eʼtibor qaratiş lozim:
- React Server Components qöllaniladigan ilovalar: server tomonida React komponentlarini bajaradigan va zaif paketlardan foydalanadigan loyihalar xavf ostida bölişi mumkin.
- Webpack asosidagi loyihalar: react-server-dom-webpack paketidan foydalanadigan ilovalar tegişli versiyalar böyiça tekşirilişi kerak.
- Parcel asosidagi loyihalar: react-server-dom-parcel paketi örnatilgan va işlatilayotgan loyihalar zaiflik taʼsir doirasiga kirişi mumkin.
- Turbopack asosidagi loyihalar: react-server-dom-turbopack paketidan foydalanadigan ilovalar ham tekşirilişi zarur.
React işlab çiquvçilari quyidagi holatlarda ilovalar mazkur zaiflikdan taʼsirlanmasligini alohida taʼkidlagan:
- React kodi faqat brauzerda bajariladigan va server tomonida işlatilmaydigan ilovalar;
- React Server Components texnologiyasini qöllab-quvvatlaydigan framework, bundler yoki bundler plaginlaridan foydalanmaydigan loyihalar.
Demak, faqat React kutubxonasining mavjudligi ilovani zaif deb hisoblaş uçun yetarli emas. Taşkilotlar foydalanayotgan texnologiyalar va dasturiy boğliqliklarni (Dependencies) tekşirib, aynan qaysi paketlar örnatilgani va ularning versiyalarini aniqlaşlari lozim.
Next.js foydalanuvçilari ham eʼtiborli bölişi kerak
React Server Components bilan boğliq mazkur zaiflik Next.js ekotizimidagi xavfsizlik masalalari bilan ham bevosita boğliq. Çunki Next.js React asosida işlaydigan va Server Components texnologiyasini qöllab-quvvatlaydigan framework hisoblanadi.
2026-yil 14-oktabr kuni Next.js jamoasi ham use cache funksiyasi orqali bir neçta Typed Arrays va foydalanuvçi boşqaradigan maʼlumotlar qayta işlanadigan ayrim holatlarda masofadan kod bajarilişiga olib kelişi mumkin bölgan alohida zaiflik haqida ogohlantirgan. Uşbu muammo GHSA-673q-mjm6-r5xr identifikatori bilan qayd etilgan.
Bu ikki xavfsizlik ogohlantirişi bir-biriga yaqin texnik şartlarni tavsiflaydi, biroq ular turli dasturiy komponentlarga tegişli alohida zaifliklardir. Şu sababli, faqat React paketlarini yangilaş bilan çeklanmasdan, Next.js versiyasi va unga tegişli xavfsizlik yangilanişlarini ham tekşiriş zarur.
Next.js jamoasi mazkur muammoni bartaraf etiş uçun 16.4.1 va 15.5.28 versiyalarini taqdim etgan. Keyingi versiyalarga yangilaşda esa tegişli xavfsizlik tuzatişlari saqlangan eng yangi barqaror relizlardan foydalaniş tavsiya etiladi.
Zaiflikdan himoyalaniş böyiça tavsiyalar
React işlab çiquvçilari aniqlangan muammoni bartaraf etiş uçun tegişli paketlarning xavfsiz versiyalarini taqdim etgan. Şu munosabat bilan, dasturçilar, DevOps muhandislari va tizim administratorlariga quyidagi çoralarni amalga oşiriş tavsiya etiladi:
- Dasturiy paketlarni yangilaş. react-server-dom-webpack, react-server-dom-parcel va react-server-dom-turbopack paketlarini foydalanilayotgan versiyaga mos ravişda 19.0.9, 19.1.10, 19.2.9 yoki 19.3.1 versiyalariga yangilaş.
- Dasturiy boğliqliklarni tekşiriş. package.json va package-lock.json, yarn.lock yoki pnpm-lock.yaml fayllarini tahlil qilib, loyihada foydalanilayotgan React Server Components paketlari va ularning versiyalarini aniqlaş.
- Next.js versiyasini tekşiriş. Agar loyiha Next.js asosida işlab çiqilgan bölsa, tegişli xavfsizlik ogohlantirişlarini örganiş va frameworkni xavfsizlik tuzatişlari mavjud bölgan versiyaga yangilaş.
- Ilova faoliyatini monitoring qiliş. Server jurnallarini muntazam tahlil qilib, noodatiy HTTP sörovlari, kutilmagan server jarayonlari, şubhali taşqi tarmoq ulanişlari va ruxsatsiz kod bajarilişi alomatlarini aniqlaş.
- Serverdagi fayllarni nazorat qiliş. Ilovaning asosiy fayllari, konfiguratsiyalari va dasturiy komponentlarida ruxsatsiz özgarişlar mavjudligini tekşiriş.
- Server imtiyozlarini çeklaş. Ilova jarayonlarini zarur bölgan minimal huquqlar asosida işga tuşiriş. Bu serverda yuzaga kelişi mumkin bölgan komprometatsiya oqibatlarini kamaytirişga yordam beradi.
- Zaxira nusxalarini yaratiş. Ilova kodi, konfiguratsiya fayllari va maʼlumotlar bazasining muntazam zaxira nusxalarini yaratiş hamda ularni tiklaş imkoniyatini sinovdan ötkaziş.
- Yangilanişdan söng qayta tekşiriş. Paketlar yangilangaç, ilovani qayta yiğiş (Build), server muhitiga joylaştiriş (Deployment) va amalda aynan tuzatilgan versiyalar işlayotganini tekşiriş.
Qöşimça eslatma: mazkur zaiflik uçun alohida CVE identifikatori ajratilmagan. Şuningdek, 2026-yil 9-noyabr holatiga köra, oçiq manbalarda aynan GHSA-xqc2-xf4c-x3h3 zaifligidan real hujumlarda foydalanilganini tasdiqlovçi maʼlumotlar aniqlanmagan. Bu holat zaiflikdan foydalaniş mumkin emasligini anglatmaydi. Şuning uçun xavfsizlik yangilanişlarini keçiktirmasdan örnatiş muhim.
React Server Components tizimida aniqlangan GHSA-xqc2-xf4c-x3h3 zaifligi zamonaviy veb-ilovalarning server tomonidagi maʼlumotlarni qayta işlaş mexanizmlari ham jiddiy xavfsizlik xatarlariga ega ekanini körsatadi.
Ayniqsa, mazkur zaiflikdan foydalaniş uçun autentifikatsiya yoki foydalanuvçi iştiroki talab etilmasligi, muvaffaqiyatli hujum esa serverda masofadan kod bajarilişiga olib kelişi mumkinligi uning xavflilik darajasini oşiradi.
Zaiflik faqat muayyan texnik şartlar mavjud bölgan holatlarda yuzaga kelişi sababli, React’dan foydalanayotgan barça taşkilotlar öz infratuzilmasini bir xil darajada zaif deb baholamasligi kerak. Buning örniga, foydalanilayotgan React Server Components paketlari, ularning versiyalari va Next.js kabi tegişli frameworklarning xavfsizlik holatini sinçiklab tekşiriş lozim.
Taşkilotlar va dasturiy taʼminot işlab çiquvçilariga React hamda unga boğliq komponentlarning xavfsizlik yangilanişlarini öz vaqtida örnatiş, server infratuzilmasini muntazam monitoring qiliş va ehtimoliy kiberhujumlarga qarşi qöşimça himoya çoralarini kuçaytiriş tavsiya etiladi.
