CVE-2025-55182 — React2Shell

CVSS 10.0 CRITIQUE | Exécution de code à distance avant authentification dans les composants serveur React

Découverte par des acteurs menaçants chinois. Activement exploitée par des groupes APT liés à la Chine.

Vue d'ensemble

Surnommée « React2Shell », cette vulnérabilité permet une exécution de code à distance sans authentification via une désérialisation non sécurisée dans le protocole « Flight » des composants serveur React (RSC). L'exploitation est triviale et ne nécessite aucune authentification.

Détails techniques

Le protocole Flight des RSC désérialise des données non fiables sans validation, ce qui relève de la CWE-502 (Désérialisation de données non fiables). Les attaquants créent une charge utile sérialisée malveillante qui, lorsqu'elle est traitée par le serveur, déclenche un détournement de résolution de modules — dirigeant les imports de modules vers un code contrôlé par l'attaquant qui s'exécute dans le runtime du serveur.

Versions affectées

Étapes de reproduction

1. Identifier une cible exécutant une version vulnérable de React/Next.js avec un point de terminaison RSC exposé (par ex., /_rsc/, /_flight/, ou les points de terminaison Server Action de Next.js).
2. Envoyer une requête HTTP POST conçue contenant la charge utile sérialisée malveillante au point de terminaison RSC.
3. Le serveur désérialise la charge utile, résolvant un import de module vers un code contrôlé par l'attaquant.
4. L'exécution de code est atteinte — ouvrez un shell, exfiltrez des données ou déployez d'autres charges utiles.

Preuve de concept

python exploit.py --target https://example.com --port 443 --command "id"

Atténuation

Mettez à jour immédiatement :

• React : >= 19.0.1, >= 19.1.2, ou >= 19.2.1
• Next.js : Appliquez le correctif du fournisseur spécifique à votre version

Aucune solution de contournement n'existe ; le correctif est la seule remédiation.

Références

• NIST NVD : en attente
• Enregistrement CVE : https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-55182
• Avis de sécurité React : en attente
• OWASP CWE-502 : https://cwe.mitre.org/data/definitions/502.html