React Server Components #RCE 10/10 - CVE-2025-55182 (React4shell)
В официальном блоге React только что выкатили (https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components) пост про CVE-2025-55182, (https://nvd.nist.gov/vuln/detail/CVE-2025-55182) которая позволяет в один запрос получить RCE. Уязвимы версии 19.0.0, 19.1.0, 19.1.1, 19.2.0, а еще фреймворки Next.JS, Vite, Parcel, и Waku.
Сам баг находится в RSC-рантайме, который принимает данные и небезопасно десериализует их. Уязвимость можно считать одной из самых критичных, которые находили в React за все время.
В официальном блоге React только что выкатили (https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components) пост про CVE-2025-55182, (https://nvd.nist.gov/vuln/detail/CVE-2025-55182) которая позволяет в один запрос получить RCE. Уязвимы версии 19.0.0, 19.1.0, 19.1.1, 19.2.0, а еще фреймворки Next.JS, Vite, Parcel, и Waku.
Сам баг находится в RSC-рантайме, который принимает данные и небезопасно десериализует их. Уязвимость можно считать одной из самых критичных, которые находили в React за все время.