Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] React Server Components opravuje kritickú zraniteľnosť
React vo verziách 19.0.1, 19.1.2 a 19.2.1 opravuje kritickú, aktívne zneužívanú zraniteľnosť v React Server Components (balíčky react-server-dom-parcel, react-server-dom-turbopack a react-server-dom-webpack). Postihnuté sú frameworky next, react-router, waku, @parcel/rsc, @vitejs/plugin-rsc a rwsdk [1][2].
Neautentizovanému vzdialenému útočníkovi je zaslaním špeciálne vytvorenej HTTP požiadavky umožnené spustiť kód na serveri [1][2]. Zraniteľnosť je už aktívne zneužívaná [3][4]. Aplikácie podporujúce React Server Components môžu byť zraniteľné, aj keď neimplementujú žiadny endpoint React Server Function [2]. Detailné informácie o zraniteľnosti a opravách nájdete na [2]. PoC sú k dispozícii na [5]
Zraniteľnosť sa nachádza v produktoch:
- react-server-dom-webpack; ==19.0.0; >=19.1.0, <=19.1.1; ==19.2.0;
- react-server-dom-turbopack; ==19.0.0; >=19.1.0, <=19.1.1; ==19.2.0;
- react-server-dom-parcel; ==19.0.0; >=19.1.0, <=19.1.1; ==19.2.0;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2025-55182 na cve.org, NVD
- CWE-502: Deserialization of Untrusted Data na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 3. 12. 2025.
Odkazy
- [1] https://www.cve.org/CVERecord?id=CVE-2025-55182
- [2] https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
- [3] https://www.cisa.gov/news-events/alerts/2025/12/05/cisa-adds-one-known-exploited-vulnerability-catalog
- [4] https://aws.amazon.com/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/
- [5] https://github.com/topics/cve-2025-55182
Za CESNET, z.s.p.o. Michaela Ručková dňa 8. 12. 2025.