Avis de NoMoreBreach : React2Shell (CVE-2025-55182)

Gravité : Critique (CVSS 10.0) Type de vulnérabilité : Exécution de code à distance (RCE) via désérialisation Statut : Corrigé (3 décembre 2025) Source de l'avis : NoMoreBreach.com

Résumé Exécutif

L'équipe de recherche de NoMoreBreach met en lumière une vulnérabilité critique dans les composants serveur React (RSC). Officiellement suivie sous la référence CVE-2025-55182, cette faille permet une exécution de code à distance non authentifiée sur les serveurs exécutant des versions vulnérables de React/Next.js.

Si votre infrastructure prend en charge RSC — même si vous n'utilisez pas explicitement les Server Actions — vous êtes vulnérable.

🔍 Impact Technique

La vulnérabilité réside dans la couche de sérialisation des packages react-server-dom-*. Un attaquant peut forger une requête HTTP malveillante qui, lorsqu'elle est traitée par le serveur, contourne les contrôles d'authentification et exécute des commandes arbitraires.

Packages concernés :

• react-server-dom-webpack (v19.0.0 - v19.2.0)
• react-server-dom-parcel (v19.0.0 - v19.2.0)
• react-server-dom-turbopack (v19.0.0 - v19.2.0)

Frameworks concernés :

• Next.js
• Waku
• React Router (RSC expérimental)
• Toute implémentation personnalisée de RSC

🛠️ Stratégie de Correction

Il n'existe pas de contournement. Le correctif est obligatoire.

Pour les environnements Next.js

Mettez à jour immédiatement vers la version de correctif correspondant à votre version majeure :

Pour les implémentations manuelles / personnalisées

npm install react@latest react-dom@latest react-server-dom-webpack@latest