CVE-2025-67779
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
Podatność w React Server Components w wersjach 19.0.2, 19.1.3 i 19.2.2 jest niekompletnym naprawieniem CVE-2025-55184 i nadal umożliwia niebezpieczną deserializację danych z żądań HTTP do punktów końcowych funkcji serwera, co może powodować nieskończoną pętlę i zawieszenie procesu serwera.
Ocena ryzyka
Atakujący może nadal przeprowadzić atak DoS, zawieszając serwer i uniemożliwiając obsługę przyszłych żądań HTTP, co może zakłócić działanie aplikacji.
Rekomendacja
Zaktualizuj React Server Components do wersji, w której podatność jest w pełni naprawiona (jeśli dostępna). Ogranicz dostęp do punktów końcowych funkcji serwera i monitoruj pod kątem anomalii.
Inne podatności w React Server Components
Zobacz wszystkie- CVE-2025-55184Wysokie
Podatność przed uwierzytelnieniem w React Server Components w wersjach 19.0.0, 19.0.1, 19.1.0, 19.1.1, 19.1.2, 19.2.0 i 19.2.1, w pakietach react-server-dom-parcel, react-server-dom-turbopack i react-server-dom-webpack, umożliwia niebezpieczną deserializację danych z żądań HTTP do punktów końcowych funkcji serwera, co może powodować nieskończoną pętlę i zawieszenie procesu serwera.
- CVE-2025-55182KrytyczneAktywnie exploitowane
Podatność umożliwiająca zdalne wykonanie kodu przed uwierzytelnieniem w React Server Components w wersjach 19.0.0, 19.1.0, 19.1.1 i 19.2.0, obejmująca pakiety react-server-dom-parcel, react-server-dom-turbopack i react-server-dom-webpack. Wrażliwy kod niebezpiecznie deserializuje dane z żądań HTTP do punktów końcowych funkcji serwera.
- CVE-2026-23869Wysokie
Podatność na odmowę usługi (DoS) w komponentach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) w wersjach 19.0.0-19.0.4, 19.1.0-19.1.5 i 19.2.0-19.2.4. Specjalnie spreparowane żądania HTTP do endpointów funkcji serwera powodują nadmierne zużycie CPU przez około minutę, kończąc się możliwym do przechwycenia błędem.
- CVE-2026-23864Wysokie
W pakietach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) wykryto wiele podatności typu odmowa usługi (DoS). Specjalnie spreparowane żądania HTTP do punktów końcowych Server Function mogą powodować awarie serwera, wyjątki braku pamięci lub nadmierne zużycie CPU.
Oryginalny opis (angielski, źródło NVD)
It was found that the fix addressing CVE-2025-55184 in React Server Components was incomplete and does not prevent a denial of service attack in a specific case. React Server Components versions 19.0.2, 19.1.3 and 19.2.2 are affected, allowing unsafe deserialization of payloads from HTTP requests to Server Function endpoints. This can cause an infinite loop that hangs the server process and may prevent future HTTP requests from being served.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS