CVE-2025-55182 - React2Shell

Ejecución remota de código sin autenticación en React Server Components.

Resumen del CVE

Existe una vulnerabilidad de ejecución remota de código sin autenticación en las versiones 19.0.0, 19.1.0, 19.1.1 y 19.2.0 de React Server Components, que incluye los paquetes react-server-dom-parcel, react-server-dom-turbopack y react-server-dom-webpack. El código vulnerable deserializa de forma insegura cargas útiles de solicitudes HTTP a los puntos finales de Server Function.

Versiones afectadas

• Paquetes de React Server Components react-server-dom-webpack, react-server-dom-parcel y react-server-dom-turbopack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Frameworks y empaquetadores que incluyen o dependen de esos paquetes vulnerables, incluyendo Next.js, React Router, Waku, Parcel RSC, Vite RSC plugin y RedwoodSDK
• Aplicaciones de Next.js App Router en versiones 15.x, 16.x y 14.3.0-canary.77 o lanzamientos canary posteriores

Referencias

• Aviso de seguridad de React - El equipo de React, 3 de diciembre de 2025
• NVD - CVE-2025-55182
• POC en Github - Maximilian Sanft, diciembre de 2025
• Escáner React2Shell - Assetnote, diciembre de 2025
• Laboratorio público Docker PoC - l4rm4nd, diciembre de 2025
• Notas del laboratorio vulnerable Docker - Arul Kumar, 5 de diciembre de 2025
• Detalles del CVE - Puntuación CVSS 10.0