Aktywnie wykorzystywana w atakach
Meta React Server Components Remote Code Execution Vulnerability
Meta - React Server Components · Figuruje w katalogu CISA KEV od 2025-12-05. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-55182
KrytyczneCVSS 10.0KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Podatność umożliwiająca zdalne wykonanie kodu przed uwierzytelnieniem w React Server Components w wersjach 19.0.0, 19.1.0, 19.1.1 i 19.2.0, obejmująca pakiety react-server-dom-parcel, react-server-dom-turbopack i react-server-dom-webpack. Wrażliwy kod niebezpiecznie deserializuje dane z żądań HTTP do punktów końcowych funkcji serwera.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze, co może prowadzić do przejęcia kontroli nad aplikacją i danymi.
Rekomendacja
Zaktualizuj pakiety React Server Components do wersji zawierających poprawki. Ogranicz dostęp do punktów końcowych funkcji serwera.
Inne podatności w React Server Components
Zobacz wszystkie- CVE-2026-23869Wysokie
Podatność na odmowę usługi (DoS) w komponentach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) w wersjach 19.0.0-19.0.4, 19.1.0-19.1.5 i 19.2.0-19.2.4. Specjalnie spreparowane żądania HTTP do endpointów funkcji serwera powodują nadmierne zużycie CPU przez około minutę, kończąc się możliwym do przechwycenia błędem.
- CVE-2026-23864Wysokie
W pakietach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) wykryto wiele podatności typu odmowa usługi (DoS). Specjalnie spreparowane żądania HTTP do punktów końcowych Server Function mogą powodować awarie serwera, wyjątki braku pamięci lub nadmierne zużycie CPU.
Oryginalny opis (angielski, źródło NVD)
A pre-authentication remote code execution vulnerability exists in React Server Components versions 19.0.0, 19.1.0, 19.1.1, and 19.2.0 including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. The vulnerable code unsafely deserializes payloads from HTTP requests to Server Function endpoints.