CVE-2025-55182 - React2Shell

ثغرة تنفيذ الأوامر عن بعد (RCE) بدون مصادقة في مكونات React الخادمة.

ملخص الثغرة

توجد ثغرة تنفيذ أوامر عن بعد بدون مصادقة في إصدارات مكونات React الخادمة 19.0.0 و19.1.0 و19.1.1 و19.2.0 بما في ذلك حزم react-server-dom-parcel وreact-server-dom-turbopack وreact-server-dom-webpack. يقوم الكود المعرض للخطر بإلغاء تسلسل (deserialize) الحمولات من طلبات HTTP إلى نقاط نهاية دوال الخادم بشكل غير آمن.

الإصدارات المتأثرة

• حزم مكونات React الخادمة react-server-dom-webpack وreact-server-dom-parcel وreact-server-dom-turbopack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• الأطر وأدوات التجميع التي تتضمن أو تعتمد على تلك الحزم المعرضة للخطر، بما في ذلك Next.js وReact Router وWaku وParcel RSC وVite RSC plugin وRedwoodSDK
• تطبيقات Next.js App Router على الإصدارات 15.x و16.x و14.3.0-canary.77 أو الإصدارات الاعتبارية الأحدث

المراجع

• React Security Advisory - The React Team, Dec 3 2025
• NVD - CVE-2025-55182
• Github POC - Maximilian Sanft, Dec 2025
• React2Shell Scanner - Assetnote, Dec 2025
• Public Docker PoC lab - l4rm4nd, Dec 2025
• Docker vulnerable lab notes - Arul Kumar, Dec 5 2025
• CVE-details - CVSS Score 10.0