CVE-2025-55182 - React2Shell

RCE pre-autenticazione in React Server Components.

Riepilogo della CVE

Esiste una vulnerabilità di esecuzione remota di codice (RCE) pre-autenticazione in React Server Components versioni 19.0.0, 19.1.0, 19.1.1 e 19.2.0, inclusi i pacchetti react-server-dom-parcel, react-server-dom-turbopack e react-server-dom-webpack. Il codice vulnerabile deserializza in modo non sicuro i payload dalle richieste HTTP verso gli endpoint delle Server Function.

Versioni interessate

• Pacchetti React Server Components react-server-dom-webpack, react-server-dom-parcel e react-server-dom-turbopack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Framework e bundler che includono o dipendono da quei pacchetti vulnerabili, inclusi Next.js, React Router, Waku, Parcel RSC, plugin Vite RSC e RedwoodSDK
• Applicazioni Next.js App Router su versioni 15.x, 16.x e 14.3.0-canary.77 o canary release successive

Riferimenti

• Avviso di sicurezza React - Il team di React, 3 dicembre 2025
• NVD - CVE-2025-55182
• POC su GitHub - Maximilian Sanft, dicembre 2025
• Scanner React2Shell - Assetnote, dicembre 2025
• Laboratorio PoC Docker pubblico - l4rm4nd, dicembre 2025
• Note sul laboratorio vulnerabile Docker - Arul Kumar, 5 dicembre 2025
• Dettagli CVE - Punteggio CVSS 10.0