3 грудня 2025 року було виявлено критичну вразливість CVE-2025-55182 (CVSS 10.0) у React Server Components, яка дозволяє неавтентифіковане віддалене виконання коду. Проблема стосується застосунків, що використовують React Server Components, навіть якщо вони не реалізують кінцеві точки серверних функцій.
3 грудня 2025 року команда React оприлюднила інформацію про вразливість CVE-2025-55182. Проблема полягала в тому, що навіть застосунки, які не реалізували власні кінцеві точки Server Function, залишалися вразливими, якщо в проєкті була активована підтримка RSC. Важливо зазначити, що суто клієнтські React-проєкти, які не використовують серверні компоненти, не підпадали під вплив цієї загрози.
Рекомендації:
- Перевірте версії React у ваших проєктах на наявність вразливих компонентів.
- Оновіть React до версії, що містить виправлення CVE-2025-55182.
- Якщо оновлення неможливе, тимчасово вимкніть підтримку React Server Components для публічних кінцевих точок.
Захист React Server Components від віддаленого виконання коду
Ця вразливість створює критичний ризик для безпеки корпоративних вебзастосунків, що використовують React Server Components. Можливість віддаленого виконання коду означає, що зловмисники можуть отримати повний контроль над сервером, що ставить під загрозу конфіденційність даних та цілісність бізнес-процесів. Для IT-менеджерів це сигнал до негайної перевірки архітектури проєктів.
Практичний крок: Проведіть терміновий аудит безпеки вашої інфраструктури та оновлення версій React. Зверніться до Softline для проведення аудиту безпеки коду та отримання плану міграції на захищені версії, щоб мінімізувати ризики експлуатації вразливості.
Використані джерела
- react.dev (react.dev)