CVE-2025-55182 (React2Shell) 漏洞

1. 漏洞说明：

CVE-2025-55182（“React2Shell”） 是 React Server Components (RSC) 中的一个严重远程代码执行 (RCE) 漏洞——具体存在于 React Flight 协议的反序列化逻辑中。

影响范围：

• React 的服务端引擎错误地解析来自浏览器的数据。
• 攻击者可以向你的服务器发送一个特制的 HTTP 请求。
• 该请求欺骗 React 的服务器运行时执行任意服务端 JavaScript。
• 这使得攻击者能够：
  • 在你的服务器上运行命令
  • 窃取环境变量（API 密钥、数据库密码、云凭证）
  • 安装恶意软件或加密货币挖矿程序
  • 完全控制你的后端

后果：

• 无需登录 → 攻击者不需要账户
• 在默认安装下有效 → 即使是干净的 create-next-app 构建
• 可靠运行，如研究人员所示
• 已在野外被利用，被加密货币挖矿组织和凭证窃贼利用

如果你的站点使用 React 19 或 带有 App Router 的 Next.js，在修复之前，我们必须假设它是易受攻击的。

---

2. 受影响的内容（所有包及版本）

受影响包及版本的完整、已验证列表：

React 包（核心问题）

Package	受影响版本	已修复版本
react-server-dom-webpack	19.0.0, 19.1.0, 19.1.1, 19.2.0	19.0.1, 19.1.2, 19.2.1
react-server-dom-parcel	同上	同上
react-server-dom-turbopack	同上	同上

这些包与 React Server Components (RSC) 紧密相关——这是根本原因。

---

捆绑了受影响 React 服务端实现的框架/工具

这些框架在底层使用了 RSC，因此继承了漏洞：

框架/工具	受影响？	备注
Next.js (App Router)	是	受影响最严重。漏洞追踪为 CVE-2025-66478（现已合并至 CVE-2025-55182）。
Vite RSC Plugin	是	任何使用 React Server Components 的安装。
Parcel RSC Plugin	是	相同原因。
React Router RSC Preview	是	捆绑了 RSC 服务端逻辑。
RedwoodJS RSC (RedwoodSDK)	是	使用 RSC 运行时。
Waku	是	实验性的基于 RSC 的运行时。
任何打包了 React 19 RSC 服务器的框架	是	必须查看其安全公告。

---

3. 如何保护我们的网站

官方完整的安全指南，以确保安全。

---

A. 立即升级（唯一的完整修复）

如果直接使用 React

升级到已修复版本：

"react-server-dom-webpack": "19.0.1" or "19.1.2" or "19.2.1"
"react-server-dom-parcel": "same"
"react-server-dom-turbopack": "same"

---

运行：

npm install react-server-dom-webpack@latest react-server-dom-parcel@latest react-server-dom-turbopack@latest

---

如果使用 Next.js (App Router)

升级到已修复的 Next.js 版本：

主版本	安全版本
14.x (稳定版)	最新的 14.x 安全发布版
15.x	15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7
16.x	16.0.7

运行：

npm install next@latest

---

---

备选方案（临时修复，官方文档不推荐）

B. 如果无法立即升级（临时缓解措施）

这些措施不能完全修复问题——但能在短时间内降低暴露风险：

在我们的 WAF 上阻止恶意的 RSC/Flight 请求

• 阻止或限速 multipart/form-data POST 请求 到：
  • /app/
  • /actions
  • 任何 RSC 路由处理器

攻击者依赖格式错误的多部分块来触发漏洞利用。