CVE-2025-55182 - React2Shell

Pre-authentication RCE в React Server Components.

Краткое описание CVE

Уязвимость удаленного выполнения кода до аутентификации существует в React Server Components версий 19.0.0, 19.1.0, 19.1.1 и 19.2.0, включая пакеты react-server-dom-parcel, react-server-dom-turbopack и react-server-dom-webpack. Уязвимый код небезопасно десериализует данные из HTTP-запросов к конечным точкам Server Function.

Затронутые версии

• Пакеты React Server Components react-server-dom-webpack, react-server-dom-parcel и react-server-dom-turbopack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Фреймворки и бандлеры, включающие или зависящие от этих уязвимых пакетов, включая Next.js, React Router, Waku, Parcel RSC, Vite RSC plugin и RedwoodSDK
• Приложения Next.js App Router на версиях 15.x, 16.x и 14.3.0-canary.77 или более поздних кандидатных релизах

Ссылки

• React Security Advisory - Команда React, 3 декабря 2025
• NVD - CVE-2025-55182
• Github POC - Maximilian Sanft, декабрь 2025
• Сканер React2Shell - Assetnote, декабрь 2025
• Публичная PoC-лаборатория в Docker - l4rm4nd, декабрь 2025
• Заметки об уязвимой лаборатории Docker - Arul Kumar, 5 декабря 2025
• CVE-details - Оценка CVSS 10.0