Aktywnie wykorzystywana w atakach
Meta React Server Components Remote Code Execution Vulnerability
Meta - React Server Components · Figuruje w katalogu CISA KEV od 2025-12-05. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-55182
KrytyczneCVSS 10.0KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Podatność umożliwiająca zdalne wykonanie kodu przed uwierzytelnieniem w React Server Components w wersjach 19.0.0, 19.1.0, 19.1.1 i 19.2.0, obejmująca pakiety react-server-dom-parcel, react-server-dom-turbopack i react-server-dom-webpack. Wrażliwy kod niebezpiecznie deserializuje dane z żądań HTTP do punktów końcowych funkcji serwera.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze, co może prowadzić do przejęcia kontroli nad aplikacją i danymi.
Rekomendacja
Zaktualizuj pakiety React Server Components do wersji zawierających poprawki. Ogranicz dostęp do punktów końcowych funkcji serwera.
Oryginalny opis (angielski, źródło NVD)
A pre-authentication remote code execution vulnerability exists in React Server Components versions 19.0.0, 19.1.0, 19.1.1, and 19.2.0 including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. The vulnerable code unsafely deserializes payloads from HTTP requests to Server Function endpoints.