CVE-2025-55182 - React2Shell

React Server Components 中的预认证远程代码执行漏洞。

CVE 摘要

一个预认证远程代码执行漏洞存在于 React Server Components 的 19.0.0、19.1.0、19.1.1 和 19.2.0 版本中，包括 react-server-dom-parcel、react-server-dom-turbopack 和 react-server-dom-webpack 包。存在漏洞的代码不安全地将 HTTP 请求中的负载反序列化到 Server Function 端点。

受影响版本

• React Server Components 包 react-server-dom-webpack、react-server-dom-parcel 和 react-server-dom-turbopack：19.0.0、19.1.0、19.1.1、19.2.0
• 包含或依赖这些易受攻击包的框架和打包工具，包括 Next.js、React Router、Waku、Parcel RSC、Vite RSC 插件和 RedwoodSDK
• 使用 15.x、16.x 及 14.3.0-canary.77 或更高 canary 版本的 Next.js App Router 应用程序

参考资料

• React 安全公告 - React 团队，2025年12月3日
• NVD - CVE-2025-55182
• Github POC - Maximilian Sanft，2025年12月
• React2Shell 扫描器 - Assetnote，2025年12月
• 公共 Docker PoC 实验环境 - l4rm4nd，2025年12月
• Docker 漏洞实验环境说明 - Arul Kumar，2025年12月5日
• CVE 详情 - CVSS 评分 10.0