CVE-2025-55184
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Podatność przed uwierzytelnieniem w React Server Components w wersjach 19.0.0, 19.0.1, 19.1.0, 19.1.1, 19.1.2, 19.2.0 i 19.2.1, w pakietach react-server-dom-parcel, react-server-dom-turbopack i react-server-dom-webpack, umożliwia niebezpieczną deserializację danych z żądań HTTP do punktów końcowych funkcji serwera, co może powodować nieskończoną pętlę i zawieszenie procesu serwera.
Ocena ryzyka
Atakujący może spowodować odmowę usługi, zawieszając serwer i uniemożliwiając obsługę przyszłych żądań HTTP, co może zakłócić działanie aplikacji.
Rekomendacja
Zaktualizuj React Server Components do wersji, w której podatność jest naprawiona (np. 19.0.2, 19.1.3, 19.2.2 lub nowsze, jeśli dostępne). Ogranicz dostęp do punktów końcowych funkcji serwera.
Inne podatności w React Server Components
Zobacz wszystkie- CVE-2025-67779Wysokie
Podatność w React Server Components w wersjach 19.0.2, 19.1.3 i 19.2.2 jest niekompletnym naprawieniem CVE-2025-55184 i nadal umożliwia niebezpieczną deserializację danych z żądań HTTP do punktów końcowych funkcji serwera, co może powodować nieskończoną pętlę i zawieszenie procesu serwera.
- CVE-2025-55182KrytyczneAktywnie exploitowane
Podatność umożliwiająca zdalne wykonanie kodu przed uwierzytelnieniem w React Server Components w wersjach 19.0.0, 19.1.0, 19.1.1 i 19.2.0, obejmująca pakiety react-server-dom-parcel, react-server-dom-turbopack i react-server-dom-webpack. Wrażliwy kod niebezpiecznie deserializuje dane z żądań HTTP do punktów końcowych funkcji serwera.
- CVE-2026-23869Wysokie
Podatność na odmowę usługi (DoS) w komponentach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) w wersjach 19.0.0-19.0.4, 19.1.0-19.1.5 i 19.2.0-19.2.4. Specjalnie spreparowane żądania HTTP do endpointów funkcji serwera powodują nadmierne zużycie CPU przez około minutę, kończąc się możliwym do przechwycenia błędem.
- CVE-2026-23864Wysokie
W pakietach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) wykryto wiele podatności typu odmowa usługi (DoS). Specjalnie spreparowane żądania HTTP do punktów końcowych Server Function mogą powodować awarie serwera, wyjątki braku pamięci lub nadmierne zużycie CPU.
Oryginalny opis (angielski, źródło NVD)
A pre-authentication denial of service vulnerability exists in React Server Components versions 19.0.0, 19.0.1 19.1.0, 19.1.1, 19.1.2, 19.2.0 and 19.2.1, including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. The vulnerable code unsafely deserializes payloads from HTTP requests to Server Function endpoints, which can cause an infinite loop that hangs the server process and may prevent future HTTP requests from being served.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS