CVE-2025-55182 - React2Shell

Pre-Authentication-RCE in React Server Components.

Zusammenfassung der CVE

In React Server Components Versionen 19.0.0, 19.1.0, 19.1.1 und 19.2.0 – einschließlich der Pakete react-server-dom-parcel, react-server-dom-turbopack und react-server-dom-webpack – besteht eine Schwachstelle zur Remote-Codeausführung (RCE) vor der Authentifizierung. Der verwundbare Code führt eine unsichere Deserialisierung von Payloads aus HTTP-Anfragen an Server-Function-Endpunkte durch.

Betroffene Versionen

• React Server Components-Pakete react-server-dom-webpack, react-server-dom-parcel und react-server-dom-turbopack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Frameworks und Bundler, die diese verwundbaren Pakete enthalten oder von ihnen abhängen, darunter Next.js, React Router, Waku, Parcel RSC, Vite-RSC-Plugin und RedwoodSDK
• Next.js-App-Router-Anwendungen auf 15.x, 16.x und 14.3.0-canary.77 oder späteren Canary-Releases

Referenzen

• React Security Advisory – Das React-Team, 3. Dez. 2025
• NVD – CVE-2025-55182
• GitHub-PoC – Maximilian Sanft, Dez. 2025
• React2Shell-Scanner – Assetnote, Dez. 2025
• Öffentliches Docker-PoC-Labor – l4rm4nd, Dez. 2025
• Notizen zum verwundbaren Docker-Labor – Arul Kumar, 5. Dez. 2025
• CVE-Details – CVSS-Score 10.0