Meu projeto React ou Next.js pode estar vulnerável? Veja como conferir e atualizar

Se você mantém uma aplicação com React Server Components ou usa Next.js no servidor, vale conferir as dependências antes do próximo deploy. Em 14 de outubro, React e Next.js publicaram avisos de segurança com correções para versões específicas.

Isso não significa que todo site feito com React esteja vulnerável. A falha anunciada pelo React não afeta aplicações que rodam apenas no navegador e não usam uma ferramenta compatível com React Server Components. No Next.js, cada aviso também depende da versão e dos recursos usados pelo projeto.

O primeiro passo é descobrir as versões realmente instaladas e como a aplicação é executada. Ter React no projeto, por si só, não confirma exposição.

O React corrigiu uma vulnerabilidade crítica em pacotes usados para transportar React Server Components. Em combinações específicas de dados, uma requisição preparada poderia levar à execução remota de código. As versões corrigidas dos pacotes afetados são 19.0.9, 19.1.10, 19.2.9 e 19.3.1.

O Next.js publicou alertas separados. Um deles trata da otimização de imagens com arquivos SVG em servidores Linux baseados em glibc. Outro afeta aplicações Next 16 que usam App Router, Cache Components e funções use cache que retornam vários typed arrays. Há ainda um problema de disponibilidade para aplicações App Router com pelo menos uma Server Action. Os avisos indicam correções em Next 15.5.28 e 16.4.1.

Esses requisitos são diferentes entre si. Por isso, não basta ler um número de versão em uma manchete: confira o aviso correspondente ao pacote e à configuração usados no seu deploy.

Abra o terminal na pasta do projeto e consulte a árvore de dependências. Em um monorepositório, repita a verificação para cada aplicação que tenha seu próprio package.json. O resultado ajuda a localizar as versões instaladas, inclusive quando um framework traz dependências de forma indireta.

npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack

• Confira também package.json e o arquivo de lock, como package-lock.json, pnpm-lock.yaml ou yarn.lock.
• Verifique qual commit e qual versão foram publicados no servidor. A dependência local pode estar atualizada enquanto o site ainda executa um deploy antigo.
• Compare cada pacote com a lista de versões afetadas e corrigidas nos avisos oficiais.

Se o projeto usa Next.js, escolha uma versão corrigida compatível com a linha e com as demais dependências da aplicação. Os avisos do Next indicam 15.5.28 e 16.4.1 como versões corrigidas para os problemas descritos. Se você usa uma versão anterior ou outra linha, consulte o aviso oficial antes de escolher o destino.

Em um projeto que instala os pacotes de React Server Components diretamente, atualize-os para a versão corrigida correspondente à linha do React. Se o framework administra esses pacotes, como costuma acontecer no Next.js, atualize o framework conforme a recomendação dele em vez de forçar uma dependência interna sem verificar a compatibilidade.

• Crie uma branch e atualize as dependências no ambiente de desenvolvimento.
• Revise as mudanças no arquivo de lock e rode o build e os testes que o projeto já possui.
• Teste rotas com Server Components, Server Actions e otimização de imagens, se o projeto usar esses recursos.
• Publique a versão corrigida e confirme que o ambiente de produção está executando o novo deploy.

Se sua aplicação React é somente client-side, sem servidor nem suporte a React Server Components, o aviso de RSC não se aplica a ela. Se usa Next.js, confira os avisos do framework mesmo que você não tenha identificado a função citada: cada falha possui condições próprias e a equipe recomenda aplicar as versões corrigidas.

Depois da atualização, mantenha o lock file versionado e ative alertas de dependências no repositório. Isso facilita descobrir quando uma nova correção afeta uma biblioteca que seu projeto realmente utiliza.