CVE-2025-55182 - React2Shell

React Server Components में प्री-ऑथेंटिकेशन RCE।

CVE का सारांश

React Server Components संस्करण 19.0.0, 19.1.0, 19.1.1 और 19.2.0 में प्री-ऑथेंटिकेशन रिमोट कोड एक्ज़ीक्यूशन भेद्यता मौजूद है, जिसमें react-server-dom-parcel, react-server-dom-turbopack और react-server-dom-webpack पैकेज शामिल हैं। कमजोर कोड Server Function एंडपॉइंट्स पर HTTP अनुरोधों से पेलोड को असुरक्षित रूप से डिसीरियलाइज़ करता है।

प्रभावित संस्करण

• React Server Components पैकेज react-server-dom-webpack, react-server-dom-parcel और react-server-dom-turbopack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• वे फ्रेमवर्क और बंडलर जिनमें वे कमजोर पैकेज शामिल हैं या जो उन पर निर्भर हैं, जिनमें Next.js, React Router, Waku, Parcel RSC, Vite RSC plugin और RedwoodSDK शामिल हैं
• 15.x, 16.x और 14.3.0-canary.77 या उसके बाद के कैनरी रिलीज़ पर चलने वाले Next.js App Router एप्लिकेशन

संदर्भ

• React सुरक्षा एडवाइज़री - The React Team, 3 दिसंबर 2025