CVE-2025-55182 - React2Shell

RCE sans authentification dans les composants serveur React.

Résumé de la CVE

Une vulnérabilité d'exécution de code à distance sans authentification existe dans les versions 19.0.0, 19.1.0, 19.1.1 et 19.2.0 des composants serveur React, incluant les paquets react-server-dom-parcel, react-server-dom-turbopack et react-server-dom-webpack. Le code vulnérable désérialise de manière non sécurisée les charges utiles des requêtes HTTP vers les points de terminaison des fonctions serveur.

Versions affectées

• Paquets React Server Components react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack : 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Frameworks et bundlers qui incluent ou dépendent de ces paquets vulnérables, y compris Next.js, React Router, Waku, Parcel RSC, le plugin Vite RSC, et RedwoodSDK
• Applications Next.js App Router sur les versions 15.x, 16.x, et 14.3.0-canary.77 ou versions canary ultérieures

Références

• Avis de sécurité React - L'équipe React, 3 déc. 2025
• NVD - CVE-2025-55182
• POC GitHub - Maximilian Sanft, déc. 2025
• Scanner React2Shell - Assetnote, déc. 2025
• Lab Docker PoC public - l4rm4nd, déc. 2025
• Notes de laboratoire Docker vulnérable - Arul Kumar, 5 déc. 2025
• CVE-details - CVSS Score 10.0