- CVE-2025-55182 un CVE-2025-66478 iespējo neautentificētu attālo koda izpildi, izmantojot React Server Components Flight protokolu.
- Trūkums ir nedrošā RSC lietderīgo kravu deserializācijā.
react-serverieviešana, kas ietekmē noklusējuma konfigurācijas. - Next.js un citi uz RSC balstīti ietvari pārmanto šo problēmu, apdraudot lielu daļu mākonī mitinātu lietotņu.
- Pārdevēji ir izlaiduši pastiprinātus atjauninājumus; React, Next.js un citu RSC ietvaru jaunināšana ir vienīgais uzticamais risinājums.
CVE-2025-55182 atklāšana React un tā pavadoņa CVE-2025-66478 atklāšana Next.js ir devusi skaidru brīdinājuma signālu mūsdienu tīmekļa izstrādes pasaulei. Šīs problēmas pakļauj serverus, kas izmanto React Server Components (RSC) un ietvarus, kas ievieš RSC “Flight” protokolu, neautentificētai attālinātai koda izpildei, pat ja tie darbojas ar pilnīgi standarta, gatavu konfigurāciju.
Īpaši satraucošu šo situāciju padara tas, cik maz pūļu uzbrucējam ir jāpieliek , lai izmantotu šo trūkumu kā ieroci: ar izstrādātu HTTP pieprasījumu, kas vērsts uz neaizsargātu galapunktu, var pietikt, lai serverī palaistu patvaļīgu kodu. Tā kā liela daļa mākoņvides paļaujas uz React un Next.js, administratoru un izstrādātāju steidzamību pēc ielāpa ieviešanas ir grūti pārvērtēt.
CVE-2025-55182 un CVE-2025-66478 izpratne
CVE-2025-55182 attiecas uz galveno kļūdu iekš react-server pakotne — komponents, kas ir React Server komponentu un to “Flight” protokola pamatā. Šī pakotne ir atbildīga par specializēto vērtumu apstrādi, kas tiek izmantoti, kad servera renderētie komponenti tiek straumēti klientam, un šis mehānisms ir jaunās React 19 ekosistēmas centrālais elements.
Paralēli, CVE-2025-66478 atspoguļo ietekmi uz Next.js, kas integrē React Server komponentus un atkārtoti izmanto to pašu pamatā esošo protokolu. Tā kā Next.js tieši balstās uz šo RSC infrastruktūru, jebkuru protokola vājumu nekavējoties pārmanto tipiskās Next.js lietojumprogrammas, tostarp tās, kas ir palaistas ar tādiem rīkiem kā create-next-app.
Abi identifikatori apraksta kritiskas, neautentificētas attālinātas koda izpildes ievainojamības . Drošības komandas tās ir novērtējušas ar maksimālo nopietnības pakāpi, atspoguļojot ne tikai to tehnisko ietekmi, bet arī to, ka ievainojamību izmantošana ir iespējama reālās pasaules izvietošanas scenārijos bez sarežģītiem priekšnosacījumiem.
Pētnieki ir arī atzīmējuši, ka skartā darbība daudzās konfigurācijās ir iespējota pēc noklusējuma . Tas nozīmē, ka lietojumprogrammām nav jāizmanto neparasti modeļi vai jāpievieno riskantas opcijas, lai tiktu pakļautas ievainojamībai; vienkārši pašreizējo RSC balstīto steku ieviešana var būt pietiekama, lai mantotu ievainojamību.
Aizkulisēs problēma rodas no tā, kā servera puses loģika pieņem un apstrādā RSC vērtumus . Tā vietā, lai rūpīgi validētu un ierobežotu neuzticamu ievadi, deserializācijas process ļauj uzbrucēja kontrolētiem datiem veidot izpildes ceļus serverī.
Kā lidojuma protokols kļūst par ceļu uz RCE
CVE-2025-55182 pamatcēlonis React Server komponentos ir loģisks deserializācijas trūkums RSC “Flight” protokola apstrādē. RSC izmanto specializētu vadu formātu, lai aprakstītu komponentu kokus, rekvizītus un servera darbības, kuras serveris kodē un klients dekodē kā daļu no renderēšanas.
Kad serveris saņem ļaunprātīgi veidotu Flight vērtumu , tam katrs šī datu elements ir jāuzskata par neuzticamu. Tā vietā neaizsargātā ieviešana apstrādā šo ievadi tādā veidā, kas efektīvi ļauj ietekmēt priviliģētas servera puses darbību. Nedrošais deserializācijas solis kļūst par tiltu starp naidīgiem datiem un JavaScript kodu, kas darbojas ar pilnām servera privilēģijām.
Drošības pētnieki šo problēmu klasi raksturo kā nedrošu deserializāciju : lietojumprogramma ņem sarežģītas ievades struktūras, rekonstruē no tām objektus vai izpildes plūsmas un nenodrošina stingrus drošības pasākumus attiecībā uz to, ko šie rekonstruētie objekti drīkst darīt. Šajā gadījumā tas paver durvis uzbrucējam, virzot izpildi pa patvaļīgiem koda ceļiem.
Testēšanas laikā pētnieku komandas ziņoja par gandrīz nevainojamu uzticamību, mēģinot izmantot apdraudējumu . Lai gan koncepcijas pierādījuma uzbrukumi nav pilnībā atklāti, lai ierobežotu oportūnistisku ļaunprātīgu izmantošanu, ir pierādīts, ka tie nodrošina attālinātu koda izpildi ar panākumu līmeni tuvu 100%. Vienīgā praktiskā prasība ir spēja piegādāt izstrādātu HTTP pieprasījumu uz atklātu RSC galapunktu.
Tāpēc uzbrukums ir attālināts un neautentificēts : nav nepieciešama derīga sesija, nav nopludināts tokens vai iepriekšēja piekļuve. Publiski pieejamu Next.js vai citu uz RSC balstītu lietotni, kas nav atjaunināta, var pārbaudīt un, ja tā ir ievainojama, apdraudēt.
Kas un kuru tas ietekmē
Tā kā ievainojamība sakņojas react-servera kodola ieviešanā , tās ietekme sniedzas tālāk par pašu React un Next.js, iekļaujot jebkuru ietvaru, kas līdzīgā veidā apvieno vai integrē RSC. Tas ir ievērojami paplašinājis potenciālās iedarbības apjomu, pārsniedzot atsevišķu bibliotēku vai pārdevēja uzturētu produktu.
Publiskās analīzes ir izcēlušas Next.js kā visredzamāko lejupējo mērķi , ņemot vērā tā popularitāti un dziļo RSC integrāciju. Wiz Research apkopotie dati liecina, ka ievērojama daļa mākoņvides izmanto React vai Next.js versijas, kas ietilpst ievainojamības diapazonā, apdraudot ievērojamu tīmekļa servera puses renderēšanas infrastruktūras daļu.
Šo novērtējumu aplēses liecina, ka aptuveni 39–40 % mākoņvides satur vismaz vienu React vai Next.js eksemplāru, ko ietekmē šie CVE. Next.js pats par sevi ir atrodams lielākajā daļā šo vižu un daudzos gadījumos nodrošina publiski pieejamu lietojumprogrammu darbību, kas ir tieši saistītas ar internetu.
Papildus Next.js, jebkurš ietvars vai rīks, kas iegulst react-server pakotni vai citādi atbalsta RSC, ir potenciāli pakļauts riskam. Atzīmētie piemēri:
- Next.js, tā RSC iespējotajās versijās.
- Vite RSC spraudņi kas nodrošina servera komponentu atbalstu.
- Sūtījumu RSC spraudņi ar integrētiem React Server komponentiem.
- React Router RSC priekšskatījumi vai eksperimentālas versijas.
- RedwoodSDK ieviešanas, izmantojot RSC funkcijas.
- Vaku un līdzīgi jauni RSC vadīti ietvari.
Mākoņplatformu pārdevēji ir sākuši skaidrot sprādziena rādiusu no sava viedokļa. Piemēram, Google ir norādījis, ka standarta publiskie OS attēli pakalpojumā Google Cloud for Compute Engine pēc noklusējuma netiek piegādāti ar neaizsargātiem RSC stekiem. Tomēr, tiklīdz lietotāji izvieto savas React vai Next.js lietotnes virs šiem attēliem, atbildība par ielāpu gulstas uz viņiem.
Kāpēc risks tiek uzskatīts par ārkārtēju
Vairākas īpašības kopā padara CVE-2025-55182 un CVE-2025-66478 īpaši satraucošus uzbrukuma veidotājus. Pirmkārt, uzbrukuma virsma ir iestrādāta RSC saziņā tīklā, tāpēc daudzos konfigurācijās to var sasniegt, izmantojot parastu HTTP datplūsmu. Lai serveri būtu sasniedzami, nav nepieciešamas eksotiskas funkcijas; pietiek ar standarta izvietošanu.
Otrkārt, noklusējuma konfigurācija ir neaizsargāta tipiskām lietotnēm, kas izmanto skarto RSC protokolu. Izstrādātāji, kas paļāvās uz ieteiktajiem, gatavajiem rīkiem un labāko praksi, iespējams, neapzināti ir izvietojuši neaizsargātas lietojumprogrammas, neko nepielāgojot.
Treškārt, veiksmīgas izmantošanas ietekme ir aptuveni tikpat nopietna, cik vien iespējams: pilnīga attālināta koda izpilde serverī . Kad uzbrucējs sasniedz šo līmeni, viņš parasti var izpildīt patvaļīgas komandas, ielauzties dziļāk vidē, izfiltrēt datus vai manipulēt ar lietojumprogrammu loģiku. Mākoņdatošanas vidēs, kur pakalpojumi ir cieši integrēti, tas var ātri pārvērsties plašākā apdraudējumā.
Drošības pētnieki ir arī pauduši bažas, ka tagad, kad ielāpi un ieteikumi ir publiski pieejami , ir tikai laika jautājums, pirms pretinieki reversā inženierijā pārveidos izmaiņas, lai izveidotu savus uzbrukumus, kā aprakstīts npm drošības rokasgrāmatās.
Visbeidzot, React un Next.js visuresamība ražošanas vidē pastiprina risku. React ir viena no visplašāk izmantotajām JavaScript bibliotēkām saskarņu veidošanai, un Next.js ir kļuvusi par galveno ietvaru servera renderētām un hibrīdlietotnēm. Kļūda nišas komponentē varētu būt palikusi relatīvi ierobežota; kļūda RSC skar milzīgu daļu no tīmekļa steka.
Atbilde no pārdevējiem un drošības komandām
Kad ievainojamība tika identificēta, atklāšanas process noritēja ātri. Drošības pētnieks Laklans Deividsons novembra beigās ziņoja par trūkumu React komandai, izmantojot Meta kļūdu meklēšanas programmu. Šis agrīnais paziņojums ļāva uzturētājiem izpētīt problēmu, sagatavot pastiprinātas versijas un koordinēt norādījumus ar lejupējiem ietvariem, piemēram, Next.js.
Kopš tā laika React uzturētāji ir izlaiduši atjauninātas React un react-server pakotnes versijas , kas novērš nedrošu deserializācijas problēmu Flight protokolā. Šīs uzlabotās versijas ir paredzētas, lai drošāk apstrādātu RSC vērtumus, aizverot koda ceļus, kas iepriekš ļāva neuzticamiem datiem diktēt servera puses izpildi.
Versels un Next.js komanda izdeva savus ieteikumus, detalizēti aprakstot, kuras versijas ir ietekmētas un kā lietotājiem ir jāveic atjaunināšana. Mērķis ir bijis padarīt komandām pēc iespējas vienkāršāku ietekmēto izvietojumu identificēšanu un pāreju uz ielāpu laidieniem, tostarp lietotnēm, kas izveidotas ar tādiem izplatītiem rīkiem kā create-next-app.
Aizsardzības ziņā Wiz Research un citi drošības pārdevēji ir publicējuši analīzes, skenēšanas un vaicājumus, lai palīdzētu organizācijām atklāt neaizsargātus gadījumus savās mākoņvidēs. Piemēram, Wiz ir pievienojis iepriekš izveidotus vaicājumus un apdraudējumu centra ieteikumus, lai atklātu React un Next.js instalācijas, kas joprojām balstās uz kļūdaino RSC ieviešanu.
Incidentu reaģēšanas kopienas eksperti arī gatavojas iespējamībai, ka dažas organizācijas saskarsies ar reāliem izmantošanas mēģinājumiem . Drošības firmas ir mudinājušas komandas, kurām ir aizdomas par mērķtiecīgu darbību, kas saistīta ar CVE-2025-55182 vai CVE-2025-66478, ātri iesaistīt reaģēšanas speciālistus , ideālā gadījumā, pirms uzbrucēji var nostiprināt savu ietekmi.
Neatliekamās darbības izstrādātājiem un operatoriem
Komandām, kas ir atbildīgas par tīmekļa lietojumprogrammām, kas veidotas, izmantojot React Server komponentus, jaunināšana uz pastiprinātām versijām ir vienīgais uzticamais risinājums problēmas risināšanai . Maz ticams, ka konfigurācijas pielāgojumi vien pilnībā novērsīs risku, vienlaikus saglabājot normālu RSC funkcionalitāti, jo trūkums ir iestrādāts pašā protokola apstrādes veidā.
Praktisks reaģēšanas plāns organizācijām varētu izskatīties šādi:
- Inventarizēt visas React un Next.js lietojumprogrammas, tostarp iekšējos rīkus un mazāk redzamus pakalpojumus, ne tikai galvenās publiski pieejamās vietnes.
- Nosakiet, kuri izvietojumi izmanto RSC vai paļaujas uz versijām pārdevēju brīdinājumos React un Next.js ir atzīmēti kā ievainojami.
- Jauniniet React, react-server un Next.js uz uzturētāju izlaistajām pastiprinātajām versijām, ievērojot viņu versijai specifiskās vadlīnijas.
- Pārbaudiet citus RSC iespējotus ietvarus piemēram, Redwood, Waku vai RSC spraudņus Vite un Parcel, un lietot atjauninājumus, tiklīdz uzturētāji tos izlaiž.
- Pārskatīt reģistrēšanu un telemetriju ap RSC galapunktiem, lai atrastu neparastus, nepareizi noformētus vai aizdomīgus pieprasījumus, kas varētu liecināt par izmeklēšanu vai ļaunprātīgas izmantošanas mēģinājumiem.
Organizācijas, kas izmanto mākoņa drošības rīkus, var arī izmantot pārdevēju nodrošināto noteikšanas saturu , lai paātrinātu šo procesu. Piemēram, Wiz sniegtie vaicājumi var palīdzēt atrast neaizsargātas pakotnes un ietvarus vairāku mākoņu izvietojumos, samazinot iespēju, ka nepamanīts pakalpojums paliek neaizsargāts.
Ja iespējams, komandas varētu arī apsvērt iespēju īslaicīgi ierobežot RSC galapunktu iedarbību, izmantojot papildu piekļuves kontroles, ātruma ierobežošanas vai lietojumprogrammu ugunsmūra slāņus, kamēr tiek ieviesti ielāpi. Šie pasākumi ir pagaidu risinājumi, nevis pilnīgs risinājums, taču tie var palīdzēt samazināt uzbrucēju iespēju logu.
Tāpat kā jebkurā augsta līmeņa RCE gadījumā, tikpat svarīga ir stingrāka uzraudzība ap kritiski svarīgiem resursiem . Brīdināšana par anomālijām procesu izveidē, izejošajiem tīkla savienojumiem no lietojumprogrammu serveriem un negaidītām konfigurācijas izmaiņām var palīdzēt agrīnā stadijā atklāt veiksmīgu izmantošanu.
Ilgtermiņa ietekme uz tīmekļa ekosistēmu
CVE-2025-55182 parādīšanās React un CVE-2025-66478 parādīšanās Next.js arī rosina plašāku diskusiju par to, kā tiek izstrādātas un ieviestas jaunas tīmekļa platformas funkcijas. Servera puses renderēšana un servera komponenti sola veiktspējas un izstrādātāju pieredzes priekšrocības, taču tie arī koncentrē lielu jaudu un sarežģītību relatīvi nelielā protokolu un bibliotēku kopā.
Viena no šī incidenta mācībām ir tāda, ka serializācijas un deserializācijas slāņi prasa īpašu pārbaudi . Jebkurš mehānisms, kas rekonstruē sarežģītus objektus vai interpretē strukturētas slodzes no neuzticamiem avotiem, ir pakļauts nopietnām kļūdām, ja validācija nav pilnīga. Tā kā arvien vairāk ietvaru pieņem RSC līdzīgus modeļus, koda recenzenti un drošības auditori, visticamāk, vēl vairāk pievērsīsies šīm robežām.
Potenciālās ietekmes apmērs ir arī izcēlis to, cik ļoti atvērtā pirmkoda ekosistēmas ir atkarīgas no ātras un koordinētas reaģēšanas, kad parādās kritiski trūkumi. React, Next.js, mākoņpakalpojumu sniedzējiem un drošības pārdevējiem visiem bija ātri jāsadarbojas, lai publicētu ielāpus, dokumentāciju un atklāšanas rīkus. Šāda koordinācija var ievērojami saīsināt laiku starp atklāšanu un novēršanu, samazinot kopējo kaitējumu.
Vienlaikus šis incidents uzsver, cik viegli noklusējuma iestatījumi var ietekmēt reālās pasaules riskus . Kad jaudīga funkcija tiek iespējota pēc noklusējuma un plaši ieviesta, jebkura šīs funkcijas vājība gandrīz vienas nakts laikā kļūst par sistēmisku problēmu. Nākotnes ietvaru izstrādē lielāks uzsvars varētu tikt likts uz drošu noklusējuma darbību, papildu funkcijām ar izvēles iespēju vai skaidrākiem drošības kompromisiem.
Visbeidzot, izstrādātāju komandas, visticamāk, pārskatīs savu apdraudējumu modelēšanu serveru vadītām funkcijām . Pat vidēs, kas iepriekš šķita labi aizsargātas, neautentificētu pieprasījumu spēja ietekmēt servera puses renderēšanas ceļus mudinās drošības komandas apstrīdēt ilgstoši pastāvošus pieņēmumus un ieguldīt līdzekļus stabilākā testēšanā.
Kopienai turpinot risināt šīs ievainojamības, organizācijas, kas veiks ātrus pasākumus , lai ielāpotu, uzraudzītu un atkārtoti novērtētu savu RSC lietojumu, būs spēcīgākā pozīcijā. CVE-2025-55182 un CVE-2025-66478 novēršana nenozīmē tikai vienas kļūdas novēršanu; tas ir atgādinājums par to, cik savstarpēji saistīti ir mūsdienu tīmekļa steki un cik svarīgi ir rūpīgi uzraudzīt pamatus, uz kuriem tie balstās.
