NoMoreBreach アドバイザリ: React2Shell (CVE-2025-55182)

深刻度: 重大 (CVSS 10.0) 脆弱性タイプ: デシリアライゼーションによるリモートコード実行 (RCE) ステータス: パッチ適用済み (2025年12月3日) アドバイザリソース: NoMoreBreach.com

---

概要

NoMoreBreach の研究チームは、React Server Components (RSC) における重大な脆弱性を強調しています。正式には CVE-2025-55182 として追跡されているこの欠陥は、脆弱なバージョンの React/Next.js を実行しているサーバー上で、未認証のリモートコード実行を可能にします。

お使いのインフラが RSC をサポートしている場合 — Server Actions を明示的に使用していなくても — 脆弱です。

🔍 技術的影響

この脆弱性は、react-server-dom-* パッケージのシリアライゼーション層に存在します。攻撃者は悪意のある HTTP リクエストを細工できます。サーバーで処理されると、このリクエストは認証チェックをバイパスして任意のコマンドを実行します。

影響を受けるパッケージ:

• react-server-dom-webpack (v19.0.0 - v19.2.0)
• react-server-dom-parcel (v19.0.0 - v19.2.0)
• react-server-dom-turbopack (v19.0.0 - v19.2.0)

影響を受けるフレームワーク:

• Next.js
• Waku
• React Router (RSC experimental)
• あらゆる RSC のカスタム実装

🛠️ 修復戦略