關(guān)鍵詞

漏洞

漏洞核心摘要

• 漏洞名稱(chēng)：React Server Components 遠(yuǎn)程代碼執(zhí)行漏洞

• CVE編號(hào)：CVE-2025-55182（CVE-2025-66478 被認(rèn)定為重復(fù)編號(hào)）

• 威脅等級(jí)：嚴(yán)重（CVSS 10.0）- 最高風(fēng)險(xiǎn)級(jí)別

• 現(xiàn)狀：漏洞細(xì)節(jié)與利用代碼（PoC）已公開(kāi)，并觀測(cè)到大規(guī)模在野利用

• 核心問(wèn)題：React在解碼發(fā)往Server Function端點(diǎn)的負(fù)載時(shí)存在缺陷，允許未經(jīng)身份驗(yàn)證的攻擊者通過(guò)構(gòu)造惡意請(qǐng)求，在服務(wù)器上執(zhí)行任意代碼。

• React 19.0.0

• React 19.1.0, 19.1.1

• React 19.2.0

• Next.js(v15.0.0 - v16.0.6 以及部分 Canary 版本)

• React Router(使用不穩(wěn)定RSC API時(shí))

• Waku

• @parcel/rsc, @vitejs/plugin-rsc, rwsdk等相關(guān)RSC適配器

• Dify、NextChat等基于受影響框架構(gòu)建的通用產(chǎn)品。

官方已發(fā)布修復(fù)版本，請(qǐng)根據(jù)您的項(xiàng)目依賴(lài)升級(jí)至以下安全版本：

受影響版本線

修復(fù)版本

升級(jí)命令示例

React 19.0.x

19.0.1

npm install react@19.0.1 react-dom@19.0.1

React 19.1.x

19.1.2

npm install react@19.1.2 react-dom@19.1.2

React 19.2.x

19.2.1

npm install react@latest react-dom@latest

對(duì)于框架用戶(hù)，請(qǐng)同步升級(jí)框架本身：

• Next.js用戶(hù)：升級(jí)至 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 或 16.0.7 等對(duì)應(yīng)分支的最新補(bǔ)丁版本。

• 其他框架：請(qǐng)參照上文“漏洞信息”部分或官方文檔升級(jí)相應(yīng)包。

運(yùn)行以下命令檢查項(xiàng)目中是否使用了存在漏洞的包及其版本：

bash

復(fù)制

npm list react react-dom react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel next

檢查輸出中的版本號(hào)是否落在“受影響版本”范圍內(nèi)。

3. 臨時(shí)緩解（如果無(wú)法立即升級(jí)）

• 評(píng)估禁用可能性：如果業(yè)務(wù)允許，可考慮臨時(shí)禁用React Server Components功能。

• 網(wǎng)絡(luò)層防護(hù)：在Web應(yīng)用防火墻（WAF）中部署針對(duì)異常RSC請(qǐng)求的防護(hù)規(guī)則。

• 注意：這些只是臨時(shí)措施，徹底修復(fù)的唯一方法是升級(jí)版本。

CVE-2025-55182是一個(gè)影響廣泛且極易被利用的嚴(yán)重漏洞。鑒于利用代碼已公開(kāi)且正在被大規(guī)模掃描攻擊，強(qiáng)烈建議所有使用React及相關(guān)框架的團(tuán)隊(duì)立即采取行動(dòng)，優(yōu)先檢查和升級(jí)受影響系統(tǒng)。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專(zhuān)注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！