CVE-2025-55182 - React2Shell

사전 인증 RCE (React Server Components)

CVE 요약

React Server Components 버전 19.0.0, 19.1.0, 19.1.1 및 19.2.0 (react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack 패키지 포함)에서 사전 인증 원격 코드 실행 취약점이 존재합니다. 취약한 코드는 Server Function 엔드포인트에 대한 HTTP 요청에서 페이로드를 안전하지 않게 역직렬화합니다.

영향을 받는 버전

• React Server Components 패키지 react-server-dom-webpack, react-server-dom-parcel, 및 react-server-dom-turbopack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• 해당 취약 패키지를 포함하거나 의존하는 프레임워크 및 번들러: Next.js, React Router, Waku, Parcel RSC, Vite RSC 플러그인, RedwoodSDK 포함
• Next.js App Router 애플리케이션: 15.x, 16.x, 및 14.3.0-canary.77 이상의 카나리 릴리스

참고 자료

• React 보안 권고 - React 팀, 2025년 12월 3일
• NVD - CVE-2025-55182
• Github PoC - Maximilian Sanft, 2025년 12월
• React2Shell 스캐너 - Assetnote, 2025년 12월
• 공개 Docker PoC 랩 - l4rm4nd, 2025년 12월
• Docker 취약 랩 노트 - Arul Kumar, 2025년 12월 5일
• CVE 상세 - CVSS 점수 10.0