Deserialization of untrusted data in Meta React Server Dom Webpack
CVSS Skor
10.0
EPSS İhtimal
%99.8
Risk Skoru
20.0
Yayın
10 ay önce
Etkilenen ürün ve sürüm için yayımlanan güvenlik güncellemesini uygulayın.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
CVE AI araştırması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
3
Kaynak uyumu
Tam uyum
Kanıt güveni
%63
Kısa açıklama
React Server Components'da kritik bir öncü kimlik doğrulama ile uzak kod çalıştırma istismarı mevcuttur. Bu açık, HTTP yüklerinin güvenli olmayan deserializasyonuyla Server Function uç noktalarına erişim sağlayarak, kimlik doğrulama olmadan herhangi bir JavaScript kodunu çalıştırma imkanı sunar. Bu açık, CISA'nın Bilinen Ele Geçirilen açık Kataloğu'nda yer almakta olup, React ve Next.js'in birçok sürümünü etkiliyor. Bir yama mevcuttur ve hemen uygulanmalıdır.
Bu açık, kimlik doğrulama olmadan hedef sistemlerde herhangi bir JavaScript kodunu çalıştırma imkanı sunar ve bu nedenle, React Server Components kullanan her uygulama için yüksek tehdit oluşturur. Bu istismarın yaygın kullanılan çerçevelerde mevcut olması, ekosistemdeki etkisini artırır.
Ne yapılmalı?
- React Server Components ve Next.js için düzeltme sürümlerine güncelleme yapın
- Meta ve Vercel tarafından yayınlanan üretici bildirimlerini uygulayın
- Üretim ortamında istismar işaretlerini izlemek için gözlem yapın
Kaynaklar bazı teknik koşulları sınırlı ayrıntıyla sunuyor. Uygulama kararından önce aşağıdaki kanıt zincirini inceleyin.
Kanıt zinciri ve kaynaklar
React Server Components 19.0.0, 19.1.0, 19.1.1 ve 19.2.0 sürümlerinde, react-server-dom-parcel, react-server-dom-turbopack ve react-server-dom-webpack paketlerinde bir öncü kimlik doğrulama ile uzak kod çalıştırma istismarı mevcuttur.
Bu açık, HTTP istek yüklerinin güvenli olmayan deserializasyonuyla Server Function uç noktalarına erişim sağlayarak, kimlik doğrulama olmadan uzak kod çalıştırmasını mümkün kılar.
Bir yama mevcut ve NVD ve React'in resmi blogu gibi kaynaklarda doğrulanmıştır; üretici bildirimlerinde düzeltme sürümüne dair referanslar mevcuttur.
CVE-2025-55182, CISA'nın Bilinen Ele Geçirilen açık Kataloğu'nda yer almakta olup, aktif istismar olduğunu göstermektedir.
Bu açık, React ve Next.js ile ilişkilidir ve 15.0.0 ile 16.0.7 arasında, dahil olmak üzere canary sürümlerini etkiliyor.
Kaynaklardaki teknik metni göster
A pre-authentication remote code execution vulnerability exists in React Server Components versions 19.0.0, 19.1.0, 19.1.1, and 19.2.0 including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. The vulnerable code unsafely deserializes payloads from HTTP requests to Server Function endpoints.
CVSS vektörü: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE: CWE-502
Açıklama yerel qwen3:4b-instruct modeliyle üretildi. Sayısal metrikler, KEV, yama ve exploit durumları AI tarafından belirlenmez.
IMPACT — Etkilenen Ürünler ve Yazılımlar
Affected Products
The following products are affected by CVE-2025-55182 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.
| ID | VENDOR | PRODUCT | ACTION |
|---|---|---|---|
| 1 | Meta | react-server-dom-webpack | İncele |
| 2 | Meta | react-server-dom-turbopack | İncele |
| 3 | Meta | react-server-dom-parcel | İncele |
| 4 | react | İncele | |
| 5 | react | İncele | |
| 6 | react | İncele | |
| 7 | react | İncele | |
| 8 | vercel | next.js | İncele |
| 9 | vercel | next.js | İncele |
| 10 | vercel | next.js | İncele |
| 11 | vercel | next.js | İncele |
| 12 | vercel | next.js | İncele |
| 13 | vercel | next.js | İncele |
| 14 | vercel | next.js | İncele |
| 15 | vercel | next.js | İncele |
| 16 | vercel | next.js | İncele |
| 17 | vercel | next.js | İncele |
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| 10.0 | CVSS V3_1 | CRITICAL | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | CVE CNA |
| 10.0 | CVSS V31 | CRITICAL | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | NVD |
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
3 doğrulanmış yama veya düzeltilmiş sürüm kanıtı bulundu.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE CISA KEV kataloğunda aktif sömürülen olarak işaretli; ancak henüz doğrulanmış, indirilebilir bir public PoC veya Metasploit modülü bulunamadı. Aktif sömürü kanıtı public exploit kodu bulunduğu anlamına gelmez.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2025-55182 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2025-55182 weaknesses.
Saldırı Vektörü ve Erişilebilirlik Karakteristiği
Resmi Kaynaklar ve Danışma Bültenleri
İlgili Benzer Açıklar
Deserialization of untrusted data in Facebook React
Vulnerability in Facebook React
Deserialization of untrusted data in Facebook React
Incorrect authorization in Facebook WhatsApp Business For iOS
Uncontrolled resource consumption in Facebook React
Next.js: Unauthenticated Remote Code Execution on windows-hosted servers
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.enginteksut.com.tr/api/v1/intel/cves/CVE-2025-55182"