CVE-2025-55182 - React2Shell

React Server Components における認証前のリモートコード実行 (RCE)。

CVE の概要

React Server Components パッケージ react-server-dom-parcel、react-server-dom-turbopack、react-server-dom-webpack を含むバージョン 19.0.0、19.1.0、19.1.1、19.2.0 に、認証前のリモートコード実行の脆弱性が存在します。脆弱なコードは、Server Function エンドポイントへの HTTP リクエストからペイロードを安全でない方法でデシリアライズします。

影響を受けるバージョン

• React Server Components パッケージ react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopack：19.0.0、19.1.0、19.1.1、19.2.0
• これらの脆弱なパッケージを含む、または依存するフレームワークおよびバンドラ：Next.js、React Router、Waku、Parcel RSC、Vite RSC プラグイン、RedwoodSDK など
• Next.js App Router アプリケーション（15.x、16.x、および 14.3.0-canary.77 以降のカナリアリリース）

参考リンク

• React セキュリティアドバイザリ - React チーム, 2025年12月3日
• NVD - CVE-2025-55182
• Github POC - Maximilian Sanft, 2025年12月
• React2Shell スキャナ - Assetnote, 2025年12月
• 公開 Docker PoC ラボ - l4rm4nd, 2025年12月
• Docker 脆弱性ラボのメモ - Arul Kumar, 2025年12月5日
• CVE-details - CVSS スコア 10.0