CVE-2025-55182 (React2Shell) Vulnerabilidad

1. Explicación sobre la Vulnerabilidad:

CVE-2025-55182 (“React2Shell”) es una vulnerabilidad crítica de Ejecución Remota de Código (RCE) dentro de React Server Components (RSC) — específicamente en la lógica de deserialización del protocolo React Flight.

Afecta:

• El motor del lado del servidor de React analiza incorrectamente los datos provenientes del navegador.

• Un atacante puede enviar una solicitud HTTP especialmente diseñada a tu servidor.

• Esa solicitud engaña al tiempo de ejecución del servidor de React para que ejecute JavaScript arbitrario del lado del servidor.

• Esto permite a los atacantes:

  • Ejecutar comandos en tu servidor
  • Robar variables de entorno (claves API, contraseñas de base de datos, credenciales en la nube)
  • Instalar malware o criptomineros
  • Tomar el control total de tu backend

Resultados:

• No se requiere inicio de sesión → el atacante no necesita una cuenta
• Funciona en instalaciones predeterminadas → incluso en compilaciones limpias de create-next-app
• Funciona de manera confiable como lo han demostrado los investigadores
• Ya explotado en la naturaleza por grupos de criptominería y ladrones de credenciales

Si nuestro sitio usa React 19 O Next.js con el App Router, debemos asumir que somos vulnerables hasta que se aplique el parche.

2. Qué ha sido afectado (todos los paquetes + versiones)

Una lista completa y verificada de paquetes y versiones afectados:

Paquetes de React (problema principal)

Estos paquetes están vinculados a React Server Components (RSC) — la causa raíz.

Frameworks / herramientas que incluyen la implementación vulnerable del servidor React

Estos frameworks usan RSC internamente, por lo que heredaron la vulnerabilidad:

3. Cómo asegurar nuestros sitios web

La guía oficial y completa de seguridad para mantenerse seguro.

A. Actualizar inmediatamente (la ÚNICA solución completa)

Si usas React directamente

Actualiza a las versiones parcheadas:

"react-server-dom-webpack": "19.0.1" or "19.1.2" or "19.2.1"
"react-server-dom-parcel": "same"
"react-server-dom-turbopack": "same"

Run:

npm install react-server-dom-webpack@latest react-server-dom-parcel@latest react-server-dom-turbopack@latest

Si usas Next.js (App Router)

Actualiza a las versiones parcheadas de Next.js:

Run:

npm install next@latest

Solución alternativa (Arreglo temporal y menos recomendada por la documentación oficial)

B. Si no podemos actualizar inmediatamente (mitigaciones temporales)

Estas no solucionan completamente el problema, pero reducen la exposición por un corto tiempo:

Bloquear solicitudes maliciosas RSC/Flight en nuestro WAF

Bloquear o limitar la tasa de solicitudes POST multipart/form-data hacia:

• /app/
• /actions
• cualquier manejador de rutas RSC

Los atacantes confían en fragmentos multipart malformados para desencadenar el exploit.