BDU:2025-15156

Опубликовано: 03 дек. 2025

Источник: fstec

CVSS3: 10

CVSS2: 10

EPSS Средний

Описание

Уязвимость функции requireModule() пакетов react-server-dom-webpack, react-server-dom-parcel и react-server-dom-turbopack JavaScript библиотеки построения пользовательских интерфейсов React связана с недостатками механизма десериализации при обработке параметра hasOwnProperty. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного HTTP-запроса

Вендор

Meta Platforms Inc

Vercel

Сообщество свободного программного обеспечения

The Vac Research Collective

Expo Software, Inc.

RedwoodJS Core Team

Наименование ПО

react-server-dom-webpack

react-server-dom-parcel

react-server-dom-turbopack

Next.js

React Router

Waku

React

Expo

Redwood SDK

Версия ПО

до 19.0.1 (react-server-dom-webpack)

до 19.1.2 (react-server-dom-webpack)

до 19.2.1 (react-server-dom-webpack)

до 19.0.1 (react-server-dom-parcel)

до 19.1.2 (react-server-dom-parcel)

до 19.2.1 (react-server-dom-parcel)

до 19.0.1 (react-server-dom-turbopack)

до 19.1.2 (react-server-dom-turbopack)

до 19.2.1 (react-server-dom-turbopack)

до 15.0.5 (Next.js)

до 15.1.9 (Next.js)

до 15.2.6 (Next.js)

до 15.3.6 (Next.js)

до 15.4.8 (Next.js)

до 15.5.7 (Next.js)

до 16.0.7 (Next.js)

- (React Router)

- (Waku)

до 14.3.0-canary.77 включительно (Next.js)

- (React)

- (Expo)

до 1.0.0-alpha.0 (Redwood SDK)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 10)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование нестандартных сетевых портов для доступа к серверу React (по умолчанию 3002);

- использование межсетевого экрана уровня приложений (WAF) для фильтрации сетевого трафика;

- ограничение возможности непривилегированных пользователей загружать файлы на сервер React;

- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;

- использование SIEM-систем для отслеживания событий, связанных с вызовом функции runInThisContext();

- использование систем обнаружения и предотвращения вторжений для отслеживания индикаторов компрометации для попыток эксплуатации уязвимости.

Использование рекомендаций производителя:

Для React:

https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

Для Next.js:

https://nextjs.org/blog/CVE-2025-66478

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-55182
CVE

EPSS

Процентиль: 96%

0.27807

Средний

10 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2025-55182

CVSS3: 10

nvd

16 дней назад

A pre-authentication remote code execution vulnerability exists in React Server Components versions 19.0.0, 19.1.0, 19.1.1, and 19.2.0 including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. The vulnerable code unsafely deserializes payloads from HTTP requests to Server Function endpoints.

GHSA-fv66-9v8q-g76r

CVSS3: 10

github

15 дней назад

React Server Components are Vulnerable to RCE

EPSS

Процентиль: 96%

0.27807

Средний

10 Critical

CVSS3

10 Critical

CVSS2