КРИТИЧНА РАНЛИВОСТ | React Server Components – CVE-2025-55182

Објавено: 12.12.2025

React тимот објави критична безбедносна ранливост во React Server Components, означена како CVE-2025-55182 (CVSS 10.0).

Ризик:
Овозможува неавтентицирано оддалечено извршување на код (RCE) преку Server Function endpoints, со потенцијал за целосна компромитација на серверот.

Погодени пакети / верзии:
• react-server-dom-webpack 19.0.0 – 19.2.0
• react-server-dom-parcel 19.0.0 – 19.2.0
• react-server-dom-turbopack 19.0.0 – 19.2.0

Индиректно погодени се и рамки како Next.js (App Router), React Router, Parcel и Vite RSC.

Активни закани:
Ранливоста (позната како React2Shell) веќе е предмет на активно интернет-скенирање и обиди за експлоатација.

ИТНО ДЕЈСТВИЕ:
• Ажурирајте на безбедносно закрпени верзии:
react-server-dom-* ≥ 19.0.1 / 19.1.2 / 19.2.1
• Ажурирајте Next.js и други зависни рамки
• Проверете логови за IoC и заострете WAF правила

:Референци:
• React advisory: https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
• CVE: https://www.cve.org/CVERecord?id=CVE-2025-55182

Препорака: Доколку користите React Server Components во продукциска околина – преземете мерки без одложување.