- CVE-2025-55182 pakalpojumā React un CVE-2025-66478 pakalpojumā Next.js iespējo neautentificētu attālinātu koda izpildi, izmantojot React Server Components “Flight” protokolu.
- Kļūda rodas no nedrošas izstrādātu RSC vērtumu deserializācijas un ietekmē daudzus ietvarus to noklusējuma konfigurācijā.
- Pētnieki novēroja gandrīz 100% izmantošanas uzticamību un lēš, ka aptuveni 39–40% mākoņvides izmanto neaizsargātas React/Next.js instances.
- Vienīgais galīgais risinājums ir tūlītēja jaunināšana uz uzlabotajām React un Next.js versijām, un pārdevēji jau piegādā ielāpus un norādījumus.
Pēdējo dienu laikā drošības komandas visā pasaulē ir cītīgi strādājušas, lai novērtētu divas nesen atklātas kļūdas React ekosistēmā: CVE-2025-55182 React Server komponentos un CVE-2025-66478 Next.js. Šīs nepilnības paver durvis pilnīgai attālinātai koda izpildei serveros un ir radījušas trauksmi, jo tās var aktivizēt bez autentifikācijas un ar ļoti nelielu uzbrucēja piepūli.
Šī problēma skar pašu mūsdienu JavaScript infrastruktūras kodolu. React un Next.js nodrošina visu, sākot no nelieliem blakusprojektiem līdz platformām, ko izmanto lieli uzņēmumi, un ievērojama daļa mākoņpakalpojumu darba slodžu ir atkarīga no tiem. Tā kā pētnieki brīdina par nenovēršamu masveida ievainojamību un gandrīz pilnīgu ievainojamību uzticamību , izstrādes un darbības komandas tiek mudinātas ielāpu instalēšanu izvirzīt savu uzdevumu saraksta augšgalā.
Kas īsti ir CVE-2025-55182 un CVE-2025-66478?
Problēmas centrā ir tas, React Server Components (RSC) “Flight” protokols, mehānisms, kas ieviests servera vadītu renderēšanas plūsmu apstrādei. CVE-2025-55182 ir identifikators, kas piešķirts ievainojamībai paša React ietvaros. react-server pakete, kamēr CVE-2025-66478 aptver atbilstošo Next.js trūkumu., kas iegulda un paplašina šo protokolu.
Šī ievainojamība būtībā ir loģiska deserializācijas kļūda RSC vērtuma apstrādē . Kad serveris saņem speciāli izveidotu, nepareizi veidotu Flight vērtumu, ieviešanas process pirms rīcības neizdodas rūpīgi pārbaudīt struktūru. Šī neuzmanība ļauj uzbrucēja kontrolētiem datiem nokļūt vietās, kur tie var ietekmēt servera puses izpildi.
Praktiski tas nozīmē, ka uzbrucējs var nosūtīt vienu izstrādātu HTTP pieprasījumu uz React Server funkciju vai RSC galapunktu . Kad serveris deserializē šo vērtumu, to var piespiest palaist patvaļīgu JavaScript kodu ar servera procesa privilēģijām, pārvēršot vienkāršu pieprasījumu par pilnvērtīgu attālinātu koda izpildi (RCE).
Drošības komandas un pārdevēji apraksta abus CVE kā tādus, kuru maksimālais CVSS vērtējums ir 10.0 , kas ir augstākais iespējamais vērtējums. Tas atspoguļo attālās sasniedzamības, autentifikācijas prasību trūkuma un skartās vides pilnīgas kompromitēšanas potenciāla apvienojumu.
Kāpēc tiek atklātas noklusējuma konfigurācijas
Viena detaļa, kas ir radījusi īpašas bažas, ir tā, ka šīs kļūdas ietekmē standarta iestatījumi bez neparastas konfigurācijasTipiska Next.js lietojumprogramma, kas ģenerēta ar create-next-app, kas kompilēti ražošanai un izvietoti ar noklusējuma opcijām, var būt neaizsargāti jau no paša sākuma.
Tas pats attiecas arī uz daudziem citiem RSC iespējoti ietvari un rīki, kas apvieno react-server īstenošanaTā kā viņi pieņēma Flight protokolu tādā veidā, kā to izstrādāja React, viņi mantoja nedrošo deserializācijas darbību. Izstrādātājiem nav jāpievieno nekādas eksotiskas funkcijas vai pielāgota parsēšanas loģika, lai šo trūkumu varētu izmantot.
Šī noklusējuma iedarbība palielina risku, ka uzbrucēji var skenēt internetu, meklējot RSC vai servera funkciju galapunktus , un ātri uzdurties reāliem mērķiem. Nav nepieciešamas nozagtas akreditācijas vai iepriekš esoša piekļuve: ja attiecīgie galapunkti ir sasniedzami no publiskā interneta un darbojas neaizsargātas versijas, tie atrodas bīstamajā zonā.
Drošības pētnieki uzsver, ka var tikt ietekmētas pat organizācijas ar nobriedušām drošības programmām, jo RSC bieži tiek netieši iespējots, izmantojot ietvara atjauninājumus un veidnes , un dažas komandas var neapzināties, ka to izmanto ražošanā.
Ietekmes apjoms React un Next.js ekosistēmās
Vairākas analīzes nonāk pie viena un tā paša secinājuma: potenciālā sprādziena rādiusa mērogs ir neparasti liels. Wiz Research dati liecina, ka aptuveni 39–40 % mākoņvides satur React vai Next.js instances, kas ir neaizsargātas pret CVE-2025-55182 un/vai CVE-2025-66478 . Tā ir ievērojama publiskā interneta lietojumprogrammu slāņa daļa.
Problēma neaprobežojas tikai ar atsevišķām React instalācijām. Īpaši plaši izplatīts ir Next.js : dažās datu kopās tas parādās gandrīz 69% no novērotajām vidēm, un lielākā daļa no tām darbina publiski pieejamas Next.js lietotnes. Šī kombinācija nozīmē, ka ievērojama daļa mākoņdatošanas īpašumu pakļauj neaizsargātus galapunktus tieši neuzticamai datplūsmai.
Runājot par konkrētām sastāvdaļām, problēma ietekmē React 19.0, 19.1.0, 19.1.1 un 19.2.0 sērijas, kas ietver kļūdainos react-server ieviešana. Runājot par ietvaru, ir iesaistīti arī vairāki populāri rīki, kas integrē RSC. Lai gan precīza ietekme atšķiras, ar ievainojamu protokolu saistīto tehnoloģiju saraksts ietver:
- Next.js
- Vite RSC spraudnis (
@vitejs/plugin-rsc) - Sūtījumu RSC spraudnis (
@parcel/rsc) - React Router RSC priekšskatījums
- RedwoodSDK
- Vaku
Pētnieki to uzsver jebkura ietvara vai bibliotēkas komplektēšana, kas saistīta ar skarto react-server īstenošana visticamāk, būs iekļauts darbības jomā, pat ja tas nav skaidri norādīts agrīnajos ieteikumos. Organizācijām tiek ieteikts inventarizēt RSC izmantošanu visos veidošanas rīkos, priekšskatījumos un pilotprojektos, ne tikai lielas datplūsmas ražošanas lietotnēs.
Arī mākoņpakalpojumu sniedzēji ir sākuši reaģēt. Piemēram, viens pārdevējs atzīmēja, ka tā noklusējuma publiskie OS attēli virtuālajām mašīnām netiek piegādāti ar pēc noklusējuma iespējotiem neaizsargātiem React komponentiem , lai gan tas neaizsargā darba slodzes, kurās klienti paši instalē un konfigurē React vai Next.js.
Kā darbojas ekspluatācija un kāpēc uzticamība ir tik augsta
Lai gan pārdevēji apzināti slēpj dažas zemākā līmeņa ekspluatācijas detaļas, lai dotu aizstāvjiem laiku labojumu ieviešanai, vispārējā izklāsta būtība ir publiska. Augstā līmenī uzbrucējam ir jāizveido tikai HTTP pieprasījums, kas satur noteiktu nepareizi veidotu RSC vērtumu, kas vērsts uz servera galapunktu, kas analizē React Flight datus.
Tā kā ievainojamā koda ceļš ir daļa no standarta deserializācijas loģikas, upurim nav nepieciešams noklikšķināt uz jebkā, pieteikties vai veikt vairāku soļu darbplūsmu. Kamēr vien uzbrucējs var sasniegt servera funkciju vai RSC galapunktu, viņš var mēģināt aktivizēt nedrošo deserializāciju un novirzīt izpildi uz savu vērtumu.
Testēšanas laikā drošības komandas ziņoja, ka uzbrukumu precizitāte bija “augsta”, un veiksmes rādītājs tuvojās 100 %, tiklīdz mērķa konfigurācija bija saprotama. Šāda veida uzticamība ir neparasta attāliem uzbrukumiem un palielina iespējamību, ka uzbrucēji var automatizēt skenēšanu un kompromitēt plašā mērogā.
Eksperti arī brīdina, ka tagad publiski pieejamie ielāpi un ieteikumi efektīvi kalpo kā ceļvedis reversajai inženierijai . Pat ja ekspluatācijas kods vēl nav plaši izlaists, draudu izpildītāji var izpētīt atšķirības starp ievainojamām un labotajām versijām, lai rekonstruētu ievainojamo loģiku un padarītu to par ieroci, līdzīgi kā npm pārvaldības stilā.
Saskaņā ar jaunākajiem ziņojumiem nebija apstiprinātu plaši izplatītu ielaušanās gadījumu, taču vairāki drošības pakalpojumu sniedzēji un pētnieki sagaida, ka tas ātri mainīsies, jo uzbrucēji steidzas izmantot neielāpotas sistēmas, pirms organizācijas pabeidz savus labošanas pasākumus.
Pārdevēju atbildes un pieejamie ielāpi
CVE-2025-55182 atklāšana tiek piedēvēta drošības pētniekam Laklanam Deividsonam , kurš ziņoja par problēmu, izmantojot Meta kļūdu meklēšanas programmu. No sākotnējās atklāšanas līdz ielāpu izlaišanai risināšanas process bija neparasti ātrs, atspoguļojot kļūdas nopietnību un tās izplatību tīmekļa ekosistēmā.
React komanda ir izlaidusi skarto pakotņu pastiprinātas versijas . Attiecībā uz pamata bibliotēku uzturētāji norāda uz tādiem atjauninājumiem kā React 19.0.1, 19.1.2 un 19.2.1 un līdzvērtīgiem saistīto komponentu ielāpu variantiem, kas aizver specifisko deserializācijas caurumu Flight protokolā.
Runājot par ietvaru, Vercel, kas uztur Next.js, piešķīra CVE-2025-66478 tā paša RSC trūkuma ietekmei uz lejupējo versiju un ir izlaidis atjauninātas Next.js versijas, kurās ir iekļauta labotā React Server Components darbība. Viņu drošības ieteikumā ir paskaidrots, ka ievainojamība rodas no tā, kā React dekodē servera funkciju galapunktiem paredzēto lietderīgo slodzi , un ka ielāps pastiprina šīs dekodēšanas rutīnas.
Citi ietvari un spraudņu autori, kas paļaujas uz RSC, piemēram, Redwood, Waku un RSC spraudņu uzturētāji Vite un Parcel, ir sākuši izdot savas vadlīnijas un versiju atjauninājumi, kas saskaņoti ar ielāpīto versiju react-server kodsLietotājiem tiek ieteikts sekot projektam raksturīgajiem paziņojumiem un jaunināšanas norādījumiem.
Vairāki komerciāli drošības pakalpojumu sniedzēji arī ir reaģējuši. Piemēram, Wiz savā Draudu centrā ir publicējis iepriekš izveidotu vaicājumu un ieteikumu , lai klienti varētu atklāt neaizsargātus gadījumus savās vidēs, savukārt citi pārdevēji apgalvo, ka noteikti tīmekļa lietojumprogrammu ugunsmūri var bloķēt dažus uzbrukuma mēģinājumus, ja React datplūsma tiek pareizi novirzīta caur tiem. Tomēr uzturētāji skaidri norāda, ka konfigurācijas pielāgojumi vai WAF noteikumi neaizstāj pareizu ielāpu instalēšanu.
Riska novērtējums: kam vajadzētu visvairāk uztraukties?
Īsā atbilde ir tāda, ka jebkurai organizācijai, kas ražošanas vidē izmanto React 19 vai no RSC atkarīgus ietvarus, tas būtu jāuztver nopietni, taču daži izvietošanas modeļi izceļas kā īpaši neaizsargāti. Piemēram, publiski pieejamas Next.js lietojumprogrammas ir vilinošs mērķis, jo tās bieži atrodas tieši internetā un pēc noklusējuma ir iespējotas RSC funkcijas.
Organizācijas, kas intensīvi izmanto servera funkcijas, servera vadītu maršrutēšanu, priekšskatījumus vai eksperimentālas RSC balstītas funkcijas, ir īpaši pakļautas riskam. Šādos iestatījumos lidojumu slodzes, visticamāk, tiks apstrādātas biežāk, dodot pretiniekiem daudz iespēju pārbaudīt vērtības slodzes un pilnveidot izmantošanas iespējas.
Koplietotas vai vairāku nomnieku vides rada papildu bažas. Ja neaizsargāts React pakalpojums darbojas ar plašu piekļuvi iekšējiem resursiem, veiksmīga RCE varētu kļūt par pagrieziena punktu horizontālai kustībai dziļāk tīklā vai pāri klientu robežām.
Analītiķi arī norāda, ka React ieviešanas plašums — tādos uzņēmumos kā Meta, Netflix, Airbnb, Shopify, Walmart un daudzos citos — nozīmē, ka reālā ietekme neaprobežojas tikai ar tīri tehniskiem riska aprēķiniem. Kompromitācija lielā lietojumprogrammu kaudzē var radīt domino efektus lietotājiem, partneriem un lejupējām ekosistēmām.
Visbeidzot, pat komandām, kas uzskata, ka tās lielā mērā nepaļaujas uz RSC, vajadzētu pārbaudīt šo pieņēmumu. Tā kā rīki un standarta versijas var nemanāmi iespējot RSC funkcijas , daži projekti var būt vairāk pakļauti riskam, nekā to uzturētāji no pirmā acu uzmetiena domā.
Praktiski mazināšanas pasākumi React un Next.js lietotājiem
Visos ieteikumos konsekventi tiek atkārtots viens punkts: jaunināšana uz ielāpotajām versijām ir vienīgais galīgais risinājums . Nav konfigurācijas karodziņa vai nelielas izmaiņas, kas pilnībā neitralizētu pamatā esošo nedrošo deserializācijas darbību, neatjauninot skartās pakotnes.
Organizācijām, kas tieši izmanto React, uzturētāji iesaka pārejot uz pastiprinātām versijām — piemēram, 19.0.1, 19.1.2, 19.2.1 vai jaunākām — kopā ar atjauninātajām versijām react-server un saistītās RSC pakotnesKomandām jāiepazīstas ar oficiālajiem React drošības ieteikumiem, lai apstiprinātu precīzas versijas, kas to atkarību kokā novērš CVE-2025-55182.
Līdzīgi arī Next.js projektiem vajadzētu jaunināt uz ielāpotajām ietvara versijām, kas ietver CVE-2025-66478 labojumu . Tā kā noklusējuma Next.js būvējums ir pietiekams, lai tiktu ietekmēts, uzmanība jāpievērš pat mazām vietnēm un iekšējiem informācijas paneļiem, ne tikai vadošajām lietojumprogrammām.
Vidēm, kurās tiek izmantoti citi RSC atbalstoši ietvari, piemēram, Redwood, Waku vai RSC spraudņi tādiem pakotņu veidotājiem kā Vite un Parcel, ieteicams rūpīgi sekojiet līdzi pārdevēju paziņojumiem un izvietojiet visus atjauninājumus, kas ietver pastiprināto react-server īstenošana tiklīdz tie ir pieejami. Ja iespējams, pirms labojumu ieviešanas ražošanā un šādu praktisko darbību piemērošanas jāizmanto izmēģinājuma vides, lai validētu lietojumprogrammu darbību. gestión segura de secretos en GitHub Actions.
Paralēli ielāpu ieviešanai drošības komandas var skenēt neaizsargātas versijas un atsegtas galapunktus . Tādu pārdevēju kā Wiz rīki var palīdzēt noteikt, kur darbojas neaizsargātas React vai Next.js instances, savukārt tīmekļa drošības skeneri un resursu inventarizācijas var kartēt, kuri pakalpojumi ir sasniedzami no interneta, nevis tikai iekšējos tīklos.
Kam aizsargiem jāpievērš uzmanība tuvākajā laikā
CVE-2025-55182 un CVE-2025-66478 atklāšana ilustrē pazīstamu modeli: plaši izmantotā komponentā parādās kritiska kļūda, ātri tiek ieviesti ielāpi, un tad sākas sacensība starp aizstāvjiem un uzbrucējiem. Šajā gadījumā 10.0 CVSS vērtējuma, neautentificēta RCE un noklusējuma iedarbības kombinācija padara šo sacensību īpaši sīvu.
Drošības pētnieki paredz, ka nākamajā fāzē apdraudējumu dalībnieki veiks ātru ielāpu reverso inženieriju . Pat ja netiks izlaists detalizēts koncepcijas pierādījuma kods, veco un jauno versiju salīdzināšana sniegs pietiekami daudz pavedienu, lai prasmīgi uzbrucēji varētu rekonstruēt ievainojamo loģiku.
Organizācijām vajadzētu sagaidīt pastiprinātu React un Next.js galapunktu skenēšanu , kā arī vairāk HTTP pieprasījumu, kas vērsti uz servera funkciju un RSC URL. Šeit var būt nozīme reģistrēšanas un uzraudzības sistēmām: anomālas vai nepareizi veidotas Flight vērtās slodzes, negaidītas kļūdas deserializācijas laikā un pieprasījumu skaita pieaugums uz konkrētiem galapunktiem var liecināt par mēģinājumu izmantot ievainojamību, un Burp Collaborator tipa pārbaudes metodes var palīdzēt vektoru reproducēšanā.
Daži aizstāvji arī pārskata padziļinātas aizsardzības kontroles mehānismus attiecībā uz saviem React izvietojumiem. Tas var ietvert datplūsmas novirzīšanu caur tīmekļa lietojumprogrammu ugunsmūriem, iekšējo pakalpojumu tīkla iedarbības pastiprināšanu un stingrāku mazāko privilēģiju konfigurāciju ieviešanu lietojumprogrammu izpildlaika atļaujām, lai kompromitēts risinājums automātiski nepiešķirtu plašu piekļuvi.
Incidentu reaģēšanas komandām tiek ieteikts gatavoties iespējamām izmeklēšanām, kas saistītas ar šiem CVE . Tas var ietvert taktiku atjaunināšanu, nodrošinot, ka attiecīgie žurnāli tiek saglabāti pietiekami ilgi, lai analizētu aizdomīgu rīcību, un sazinoties ar pakalpojumu sniedzējiem vai drošības pārdevējiem, kas var palīdzēt, ja rodas aizdomas par kompromitēšanu.
Visā spektrā pētnieku, pārdevēju un mākoņpakalpojumu sniedzēju vēstījums ir konsekvents: lai gan plaši izplatīta izmantošana vēl nav publiski apstiprināta, tehniskie apstākļi padara to par pievilcīgu mērķi, un gaidīšana uz ielāpu ievērojami palielina riska logu.
Ar kritiskām attālās koda izpildes kļūdām, piemēram, CVE-2025-55182 React un CVE-2025-66478 Next.js, praktiskais secinājums ir vienkāršs: pieņemsim, ka tiks pārbaudīti neaizsargāti RSC galapunkti, prioritāri piešķirsim jauninājumiem uz aizsargātām versijām un izmantosim pieejamos rīkus, lai atrastu un aizsargātu neaizsargātas instances . Tīmekļa stekam, kas lielā mērā balstās uz React un tā apkārtējiem ietvariem, savlaicīga labošana tagad, visticamāk, atmaksāsies ar mazāku ārkārtas situāciju skaitu vēlāk.
