Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] React Server Components opravuje 2 zraniteľnosti
React vo verziách 19.0.3, 19.1.4 a 19.2.3 opravuje 2 zraniteľnosti v React Server Components (balíčky react-server-dom-parcel, react-server-dom-turbopack a react-server-dom-webpack) [1] objavené pri analýze opravy kritickej zraniteľnosti CVE-2025-55182 z 3. 12. 2025 [2]. Postihnuté sú frameworky next, react-router, waku, @parcel/rsc, @vitejs/plugin-rsc a rwsdk [1]. Detailné informácie o zraniteľnostiach a opravách nájdete na [1].
Neautentizovanému vzdialenému útočníkovi je zaslaním špeciálne vytvorených HTTP požiadaviek na akýkoľvek endpoint Server Functions umožnené vykonať útok DoS. Aplikácie podporujúce React Server Components môžu byť zraniteľné, aj keď žiadny endpoint React Server Function neimplementujú [1][3]. Oprava pôvodnej CVE-2025-55184 [4] nebola dostatočná [1].
Zraniteľnosť sa nachádza v produktoch:
- react-server-dom-webpack; >=19.0.0, <=19.0.2; >=19.1.0, <=19.1.3; >=19.2.0, <=19.2.2;
- react-server-dom-turbopack; >=19.0.0, <=19.0.2; >=19.1.0, <=19.1.3; >=19.2.0, <=19.2.2;
- react-server-dom-parcel; >=19.0.0, <=19.0.2; >=19.1.0, <=19.1.3; >=19.2.0, <=19.2.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2025-67779 na cve.org, NVD
- CWE-502: Deserialization of Untrusted Data na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 11. 12. 2025.
Neautentizovanému vzdialenému útočníkovi je zaslaním špeciálne vytvorenej HTTP požiadavky umožnené za určitých podmienok získať zdrojový kód akejkoľvek Server Function. To môže viesť k úniku citlivých údajov, ak sú definované priamo v kóde (hardcoded secrets) [1].
Zraniteľnosť sa nachádza v produktoch:
- react-server-dom-webpack; >=19.0.0, <=19.0.2; >=19.1.0, <=19.1.3; >=19.2.0, <=19.2.2;
- react-server-dom-turbopack; >=19.0.0, <=19.0.2; >=19.1.0, <=19.1.3; >=19.2.0, <=19.2.2;
- react-server-dom-parcel; >=19.0.0, <=19.0.2; >=19.1.0, <=19.1.3; >=19.2.0, <=19.2.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Viac informácií:
- CVE-2025-55183 na cve.org, NVD
- CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 11. 12. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dňa 16. 12. 2025.