Podatności React Server Components

Pakiety react-server-dom-webpack, react-server-dom-parcel i react-server-dom-turbopack w wersjach od 19.0.0 do 19.0.9, 19.1.10, 19.2.9 i 19.3.1 są podatne na nieuwierzytelnione zdalne wykonanie kodu poprzez spreparowane dane wejściowe wymierzone w frameworki obsługujące React Server Components. Podatność dotyczy wyłącznie rzadkich przypadków, gdy odpowiedzi transportują wiele tablic typowanych wraz z wartością kontrolowaną przez atakującego; aplikacje bez kodu serwerowego lub bez frameworku/bundlera obsługującego React Server Components nie są zagrożone.

Podatność w React Server Components w wersjach 19.0.2, 19.1.3 i 19.2.2 jest niekompletnym naprawieniem CVE-2025-55184 i nadal umożliwia niebezpieczną deserializację danych z żądań HTTP do punktów końcowych funkcji serwera, co może powodować nieskończoną pętlę i zawieszenie procesu serwera.

Podatność przed uwierzytelnieniem w React Server Components w wersjach 19.0.0, 19.0.1, 19.1.0, 19.1.1, 19.1.2, 19.2.0 i 19.2.1, w pakietach react-server-dom-parcel, react-server-dom-turbopack i react-server-dom-webpack, umożliwia niebezpieczną deserializację danych z żądań HTTP do punktów końcowych funkcji serwera, co może powodować nieskończoną pętlę i zawieszenie procesu serwera.

Podatność na wyciek informacji występuje w określonych konfiguracjach React Server Components w wersjach 19.0.0, 19.0.1, 19.1.0, 19.1.1, 19.1.2, 19.2.0 i 19.2.1, w pakietach react-server-dom-parcel, react-server-dom-turbopack oraz react-server-dom-webpack. Specjalnie spreparowane żądanie HTTP wysłane do podatnej funkcji serwerowej może niebezpiecznie zwrócić kod źródłowy dowolnej funkcji serwerowej.

Podatność na odmowę usługi (DoS) w komponentach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) w wersjach 19.0.0-19.0.4, 19.1.0-19.1.5 i 19.2.0-19.2.4. Specjalnie spreparowane żądania HTTP do endpointów funkcji serwera powodują nadmierne zużycie CPU przez około minutę, kończąc się możliwym do przechwycenia błędem.

W pakietach React Server Components (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack) wykryto wiele podatności typu odmowa usługi (DoS). Specjalnie spreparowane żądania HTTP do punktów końcowych Server Function mogą powodować awarie serwera, wyjątki braku pamięci lub nadmierne zużycie CPU.