Haavatavus Reacti serverikomponentides, mis võimaldab koodi täitmist serveris.

Web-raamistik React'i (RSC, React Server Components) serverikomponentides on kõrvaldatud haavatavus (CVE-2025-55182), mis võimaldas saata päringu serveri töötlejale ja käivitada juhuslik kood serveris. Haavatusele on antud kriitiline ohtu tase (10 skaalal 10). Haavatavus avaldub eksperimentaalsetes komponentides react-server-dom-webpack, react-server-dom-parcel ja react-server-dom-turbopack, mis on mõeldud funktsioonide täitmiseks ja liidese elementide genereerimiseks serveris, mitte kliendipoolsel küljes.

Probleem on põhjustatud ebaturvalisest deserialiseerimisest andmete osas, mis saadakse HTTP-päringutes serveri töötlejatele. Töötlejat „vm#runInThisContext“, „vm#runInNewContext“, „child_process#execFileSync“ ja „child_process#execSync“ saab kasutada käsu käivitamiseks süsteemis või JavaScripti koodi täitmiseks praeguse protsessi kontekstis (igaüks, mis ületab liivakasti isolatsiooni). Samuti on võimalik kasutada töötlejat „fs#readFileSync“ ja „fs#writeFileSync“ juhuslike failide lugemiseks ja kirjutamiseks, serveris, kui see on kooskõlas praeguste juurdepääsuõigustega. Rünnakuks ei ole vaja autentimist. Ekspluateerimise prototüüp on saadaval. # Käivita käsk whoami curl -X POST http://localhost:3002/formaction \ -F ‘$ACTION_REF_0=’ \ -F ‘$ACTION_0:0={«id»:«child_process#execSync»,«bound»:[«whoami»]}’ # JavaScripti koodi täitmine 1+1 curl -X POST http://localhost:3002/formaction \ -F ‘$ACTION_REF_0=’ \ -F ‘$ACTION_0:0={«id»:«vm#runInThisContext»,«bound»:[«1+1»]}’ # Faili lugemine /etc/passwd curl -X POST http://localhost:3002/formaction \ -F ‘$ACTION_REF_0=’ \ -F ‘$ACTION_0:0={«id»:«fs#readFileSync»,«bound»:[«/etc/passwd»,«utf8″]}’

Süsteemide haavatavus sõltub haavatavate serverikomponentide react-server-dom-webpack, react-server-dom-parcel ja react-server-dom-turbopack kasutamisest. Rakendusi, mis ei kasuta react-server'i, see haavatavus ei puuduta. Haavatavuse leviku aste tööprotsessides, kus React'i kasutatakse, ei ole veel selge. Ühelt poolt on React üks populaarsemaid web-raamistikke (kasutatakse umbes 6% veebilehtedest) ja haavatavad komponendid arenevad peamiselt ametlikus hoidlas ning sisalduvad vabanemise koosseisus. Haavatavaid komponente toetatakse ka React'ile põhinevates raamistikutes, nagu Next.js ja react-router. Wiz Researchi andmetel on haavatavad eksemplarid tuvastatud 39% analüüsitud pilves keskkondades.

Teiselt poolt, sisu genereerimine serveris läbi React Server Komponendid on harva kasutatav funktsioon (enamus React-i saite renderdavad liidese vaid kliendi poolel), ning haavatavad komponendid on märgitud eksperimentaalsetena, mis ei garanteeri korrektset toimimist. Nendel komponentidel on suhteliselt vähe otseseid allalaadimisi NPM-i hoidlast: react-server-dom-webpack — 670 tuhat nädalas, react-server-dom-parcel — 7 tuhat ja react-server-dom-turbopack — 32 tuhat; võrdluseks, NPM-i pakett React omab 45 miljonit allalaadimist nädalas.

Haavatavus esineb React-i versioonides 9.0.0, 19.1.0, 19.1.1 ja 19.2.0 ning on kõrvaldatud uuendustes React 19.0.1, 19.1.2 ja 19.2.1. Haavatavaid komponente kasutatakse ka pakettides Next.js (16 miljonit allalaadimist nädalas), react-router (20 miljonit allalaadimist nädalas), waku, @parcel/rsc, @vitejs/plugin-rsc ja rwsdk.

Next.js raamistikus on haavatavus (CVE-2025-66478) seotud rakendustega, mis kasutavad App Router ja Next.js versioone 15.x ja 16.x. On väidetud, et haavatavus avaldub Next.js vaikekonfiguratsioonis (vaikemudeli rakendus, mis luuakse utiliidiga create-next-app, on haavatav). Kasutajatele soovitatakse võimalikult kiiresti installida uuendus Next.js versioonides 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 või 16.0.7.

Allikas: opennet.ru