Ujawniono nowe luki w React Server Components

Badacze bezpieczeństwa ujawnili trzy nowe luki w React Server Components podczas prób wykorzystania niedawnej poprawki dla React2Shell (CVE-2025-55182).

Choć pierwotne zabezpieczenie przed zdalnym wykonaniem kodu pozostaje skuteczne, nowo odkryte błędy niosą ze sobą poważne ryzyko dla dostępności i ujawnienia danych.

Nowo ujawnione luki

• Wysoki poziom zagrożenia – odmowa usługi (DoS)
  • CVE-2025-55184
  • CVE-2025-67779
  • CVSS: 7,5
• Średni poziom zagrożenia – ujawnienie kodu źródłowego
  • CVE-2025-55183
  • CVSS: 5,3

Skutki

Odmowa usługi (wysoki poziom):
Specjalnie spreparowane żądanie HTTP wysłane do punktu końcowego Server Functions może wywołać nieskończoną pętlę deserializacji, powodując:

• Zawieszenie serwera
• Wyczerpanie zasobów procesora
• Niedostępność usługi

Podatne mogą być nawet aplikacje, które nie korzystają jawnie z Server Functions, jeśli włączone są React Server Components.

Ujawnienie kodu źródłowego (średni poziom):
Atakujący mogą zmusić podatną funkcję serwerową (Server Function) do zwrócenia własnego kodu źródłowego, co potencjalnie może ujawnić:

• Wewnętrzną logikę
• Sekrety lub klucze API
• Wrażliwe procesy backendowe

Dotknięte pakiety i wersje

Luki dotyczą tych samych pakietów i wersji co CVE-2025-55182, w tym:

Podatne wersje:
19.0.0 – 19.0.2
19.1.0 – 19.1.2
19.2.0 – 19.2.2

Pakiety:

• react-server-dom-webpack
• react-server-dom-parcel
• react-server-dom-turbopack

Wersje z poprawką (zaktualizuj natychmiast)

✔ 19.0.3
✔ 19.1.4
✔ 19.2.3

Dotknięte frameworki i bundlery

Poniższe ekosystemy mogą być narażone ze względu na zależności:

• Next.js
• React Router
• Waku
• @parcel/rsc
• @vite/rsc-plugin
• rwsdk

Dodatkowe uwagi

• Aplikacje, które nie korzystają z serwera lub nie używają React Server Components, nie są dotknięte problemem
• Istnieją tymczasowe zabezpieczenia po stronie dostawców hostingu — nie polegaj na nich
• Użytkownicy React Native, którzy nie korzystają z monorepozytoriów, są zasadniczo bezpieczni
• Użytkownicy React Native w monorepozytoriach powinni zaktualizować wyłącznie dotknięte pakiety serwerowe

Najważniejszy wniosek

Nawet bez RCE luki DoS i wycieku kodu źródłowego mogą mieć poważny wpływ na środowisko produkcyjne. React Server Components pozostają powierzchnią ataku o wysokim ryzyku i należy je uważnie monitorować.