CVE-2025-55182 (React2Shell) Vulnérabilité

1. Explication de la vulnérabilité:

CVE-2025-55182 (« React2Shell ») est une vulnérabilité critique d'exécution de code à distance (RCE) dans React Server Components (RSC) — plus précisément dans la logique de désérialisation du protocole React Flight.

Impact:

• Le moteur serveur de React analyse incorrectement les données provenant du navigateur.

• Un attaquant peut envoyer une requête HTTP spécialement conçue à votre serveur.

• Cette requête amène le runtime serveur de React à exécuter du JavaScript arbitraire côté serveur.

• Cela permet aux attaquants de :

  • Exécuter des commandes sur votre serveur
  • Voler des variables d'environnement (clés API, mots de passe de base de données, identifiants cloud)
  • Installer des logiciels malveillants ou des cryptomineurs
  • Prendre le contrôle total de votre backend

Conséquences:

• Aucune connexion requise → l'attaquant n'a pas besoin de compte
• Fonctionne sur les installations par défaut → même sur des builds propres create-next-app
• Fonctionne de manière fiable comme le montrent les chercheurs
• Déjà exploité dans la nature par des groupes de cryptominage et des voleurs d'identifiants

Si notre site utilise React 19 OU Next.js avec l'App Router, nous devons considérer que nous sommes vulnérables jusqu'à ce que le correctif soit appliqué.

2. Ce qui a été affecté (tous les packages + versions)

Une liste complète et vérifiée des packages et versions affectés :

Packages React (problème central)

Ces packages sont liés à React Server Components (RSC) — la cause racine.

Frameworks / outils qui intègrent l'implémentation serveur React vulnérable

Ces frameworks utilisent RSC en interne, ils ont donc hérité de la vulnérabilité :

3. Comment sécuriser nos sites web

Directives de sécurité officielles et complètes pour rester en sécurité.

A. Mettre à jour immédiatement (le SEUL correctif complet)

Si vous utilisez React directement

Mettez à jour vers les versions corrigées :

"react-server-dom-webpack": "19.0.1" or "19.1.2" or "19.2.1"
"react-server-dom-parcel": "same"
"react-server-dom-turbopack": "same"

Exécutez:

npm install react-server-dom-webpack@latest react-server-dom-parcel@latest react-server-dom-turbopack@latest

Si vous utilisez Next.js (App Router)

Mettez à jour vers les versions corrigées de Next.js :

Exécutez:

npm install next@latest

Solution alternative (correctif temporaire et moins recommandé par la documentation officielle)

B. Si nous ne pouvons pas mettre à jour immédiatement (atténuations temporaires)

Ces mesures ne corrigent pas entièrement le problème — mais réduisent l'exposition pendant une courte période :

Bloquer les requêtes RSC/Flight malveillantes au niveau de notre WAF

Bloquez ou limitez le débit des requêtes POST multipart/form-data vers :

• /app/
• /actions
• tout gestionnaire de route RSC

Les attaquants s'appuient sur des fragments multipart malformés pour déclencher l'exploit.