CVE-2025-55182 - React2Shell

Ejecución remota de código sin autenticación en React Server Components.

Resumen del CVE

Existe una vulnerabilidad de ejecución remota de código sin autenticación en las versiones 19.0.0, 19.1.0, 19.1.1 y 19.2.0 de React Server Components, que incluye los paquetes react-server-dom-parcel, react-server-dom-turbopack y react-server-dom-webpack. El código vulnerable deserializa de forma insegura cargas útiles de solicitudes HTTP a los puntos finales de Server Function.

Versiones afectadas

• Paquetes de React Server Components react-server-dom-webpack, react-server-dom-parcel y react-server-dom-turbopack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Frameworks y empaquetadores que incluyen o dependen de esos paquetes vulnerables, incluyendo Next.js, React Router, Waku, Parcel RSC, Vite RSC plugin y RedwoodSDK
• Aplicaciones de Next.js App Router en versiones 15.x, 16.x y 14.3.0-canary.77 o lanzamientos canary posteriores

Referencias