CVE-2025-55182 - React2Shell

RCE pré-autenticação em React Server Components.

Resumo do CVE

Existe uma vulnerabilidade de execução remota de código pré-autenticação no React Server Components nas versões 19.0.0, 19.1.0, 19.1.1 e 19.2.0, incluindo os pacotes react-server-dom-parcel, react-server-dom-turbopack e react-server-dom-webpack. O código vulnerável desserializa de forma insegura payloads de requisições HTTP para endpoints de Server Functions.

Versões Afetadas

• Pacotes React Server Components react-server-dom-webpack, react-server-dom-parcel e react-server-dom-turbopack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Frameworks e bundlers que incluem ou dependem desses pacotes vulneráveis, incluindo Next.js, React Router, Waku, Parcel RSC, plugin Vite RSC e RedwoodSDK
• Aplicações Next.js App Router nas versões 15.x, 16.x e 14.3.0-canary.77 ou releases canary posteriores

Referências

• Aviso de Segurança do React - The React Team, 3 de dezembro de 2025
• NVD - CVE-2025-55182
• PoC no GitHub - Maximilian Sanft, dezembro de 2025
• Scanner React2Shell - Assetnote, dezembro de 2025
• Laboratório público de PoC em Docker - l4rm4nd, dezembro de 2025
• Notas do laboratório vulnerável em Docker - Arul Kumar, 5 de dezembro de 2025
• CVE-details - Pontuação CVSS 10.0