災難性 React 漏洞(CVE-2025-55182,CVSS 10.0)可導致 Next.js 和服務端組件遭受未授權遠程代碼執行
12月4日,React 團隊在發現影響現代 React 生態系統的災難性漏洞后發布了緊急安全公告。該漏洞被評定為最高嚴重等級,允許未經認證的攻擊者在運行 React 服務端組件(RSC)的服務器上執行任意代碼。
該漏洞由安全研究員 Lachlan Davidson 發現,針對客戶端與服務端之間的通信層。該漏洞被分配編號 CVE-2025-55182,CVSS 評分為 10.0 分——該評分僅用于最嚴重的安全漏洞,即那些易于利用、無需認證且可導致系統完全淪陷的漏洞。

威脅范圍尤其令人擔憂,因為它超出了主動使用場景。開發者可能認為只要沒有主動使用服務端函數就是安全的,但 React 團隊警告稱:"即使您的應用沒有實現任何 React 服務端函數端點,只要支持 React 服務端組件,就可能仍然存在風險。"
漏洞原理:反序列化過程缺陷
漏洞存在于反序列化過程中——即 React 如何將客戶端發送的數據轉換回服務端可執行操作。在正常操作下,React 將客戶端請求轉換為 HTTP 請求,服務端再將其轉換為函數調用。但該解碼過程中的缺陷為惡意注入打開了大門。
"未經認證的攻擊者可向任何服務端函數端點構造惡意 HTTP 請求,當被 React 反序列化時,即可實現服務端遠程代碼執行。"這使得攻擊者能繞過安全控制,直接在主機服務器上運行命令。
影響范圍:核心包與主流框架
問題根源在于特定底層包:react-server-dom-webpack、react-server-dom-parcel 和 react-server-dom-turbopack。受影響版本涵蓋 19.0 至 19.2.0。由于這些包是基礎組件,漏洞會級聯影響主要框架和打包工具。公告指出:"以下 React 框架和打包工具受到影響:next、react-router、waku、@parcel/rsc、@vitejs/plugin-rsc 和 rwsdk。"
修復方案:立即升級
React 團隊和框架維護者已發布補丁,必須立即升級以確保應用安全:
(1) React 核心包:19.0.1、19.1.2 和 19.2.1 版本已修復
(2) Next.js 用戶:必須立即升級到對應發布線的最新修補版本:
- v15.0.x → 安裝 next@15.0.5
- v15.1.x → 安裝 next@15.1.9
- v16.0.x → 安裝 next@16.0.7
注意:Next.js 14.3.0-canary.77 或更高版本用戶應降級至 next@14
(3) React Router 及其他框架:在 React Router、Waku 或 Redwood SDK 中使用不穩定 RSC API 的用戶,應立即通過 npm install 將 react、react-dom 及其特定 server-dom 包(webpack/parcel)更新至最新版本。
































