CVE-2026-23864: React Server Components DoS 취약점 요약

React Server Components의 Server Function 엔드포인트에서 DoS를 유발할 수 있는 고심각도 취약점이 CVE-2026-23864로 공개됐다. CVSS 7.5 수준으로 원격 코드 실행은 없지만 서버 충돌·OOM·과도한 CPU 사용을 일으킬 수 있으며 Next.js 13.x~16.x를 포함한 광범위한 React 에코시스템 프레임워크가 영향을 받는다.

핵심 포인트

Server Function 엔드포인트에 특수하게 조작된 HTTP 요청을 보내면 서버 충돌, 메모리 부족(OOM), 과도한 CPU 사용을 유발할 수 있다.
영향 패키지: `react-server-dom-parcel`, `react-server-dom-webpack`, `react-server-dom-turbopack` (19.0.x, 19.1.x, 19.2.x 전체 버전).
Next.js 13.x~16.x, Vite, Parcel, React Router, RedwoodSDK, Waku 등 Server Components를 쓰는 프레임워크 전반이 영향받는다.
패치 버전: React 19.0.4 / 19.1.5 / 19.2.4 및 Next.js 각 버전별 패치 — 즉시 업그레이드 권장.
Vercel WAF가 자동 보호를 제공하지만 WAF만 믿지 말고 패키지 업그레이드를 병행해야 한다.

상세 정리

취약점 ID: CVE-2026-23864, CVSS 7.5 (High) — RCE는 없음, 가용성(Availability) 영향이 주.
공격 벡터: 네트워크에서 특수하게 제작된 HTTP 요청을 Server Function 엔드포인트로 전송하는 방식 — 인증 없이도 가능한 것으로 보임.
영향: 서버 프로세스 충돌(크래시), 메모리 부족 예외(OOM), 과도한 CPU 점유 — 서비스 중단(DoS) 가능.
영향 패키지: `react-server-dom-webpack`, `react-server-dom-turbopack`, `react-server-dom-parcel` 세 패키지의 19.0.x, 19.1.x, 19.2.x 전 버전.
영향 프레임워크: Next.js(13.x~16.x 모두), React Router, Waku, RedwoodSDK, Vite + RSC 플러그인, Parcel — React Server Components를 사용하는 모든 스택.
수정 버전: React 19.0.4, 19.1.5, 19.2.4 각각의 서버 DOM 패키지가 패치됨. Next.js도 각 마이너 버전별 패치 릴리즈 제공.
Vercel WAF: Vercel에 배포된 앱은 WAF가 악성 요청을 자동 차단하는 레이어 제공. 단, WAF는 보조 방어선으로만 취급하고 패키지 업그레이드가 필수.
대응 우선순위: `package.json` 또는 `pnpm-lock.yaml`에서 영향 패키지 버전 확인 → 패치 버전으로 업그레이드 → 배포 및 확인.