“Tôi thường không nói điều này, nhưng hãy vá lỗi ngay lập tức,” một nhà nghiên cứu viết . “Lỗ hổng bảo mật React (CVE-2025-55182) đạt điểm 10 hoàn hảo.”

Các phiên bản React 19.0.0, 19.1.0, 19.1.1, 19.2.0 chứa mã độc hại. Các thành phần của bên thứ ba được biết là bị ảnh hưởng bao gồm:

• Plugin Vite RSC
• Plugin Parcel RSC
• Bản xem trước React Router RSC
• RedwoodSDK
• Waku
• Next.js

Theo Wiz và công ty bảo mật Aikido, lỗ hổng này, được theo dõi với mã CVE-2025-55182, nằm trong Flight, một giao thức được tìm thấy trong React Server Components. Next.js đã gán mã CVE-2025-66478 để theo dõi lỗ hổng trong gói của mình.

Lỗ hổng này bắt nguồn từ quá trình giải mã dữ liệu không an toàn, tức là quá trình chuyển đổi chuỗi ký tự, luồng byte và các định dạng "đã được tuần tự hóa" khác thành đối tượng hoặc cấu trúc dữ liệu trong mã. Tin tặc có thể khai thác quá trình giải mã không an toàn này bằng cách sử dụng các payload thực thi mã độc hại trên máy chủ. Các phiên bản React đã được vá lỗi là 19.0.1+, 19.1.2+ và 19.2.1. Chúng bao gồm việc xác thực nghiêm ngặt hơn và hành vi giải mã dữ liệu được tăng cường.

“Khi máy chủ nhận được một gói dữ liệu bị lỗi, được tạo ra một cách đặc biệt, nó sẽ không thể xác thực cấu trúc một cách chính xác,” Wiz giải thích. “Điều này cho phép dữ liệu do kẻ tấn công kiểm soát ảnh hưởng đến logic thực thi phía máy chủ, dẫn đến việc thực thi mã JavaScript có đặc quyền.”

Công ty cho biết thêm:

Trong quá trình thử nghiệm, việc khai thác lỗ hổng này có độ chính xác cao, với tỷ lệ thành công gần 100% và có thể được tận dụng để thực thi mã từ xa hoàn toàn. Phương thức tấn công không cần xác thực và từ xa, chỉ cần một yêu cầu HTTP được tạo đặc biệt gửi đến máy chủ mục tiêu. Nó ảnh hưởng đến cấu hình mặc định của các framework phổ biến.

Cả hai công ty đều khuyên các quản trị viên và nhà phát triển nên nâng cấp React và bất kỳ thư viện phụ thuộc nào vào nó. Người dùng của bất kỳ framework và plugin nào hỗ trợ Remote được đề cập ở trên nên liên hệ với người bảo trì để được hướng dẫn. Aikido cũng đề xuất các quản trị viên và nhà phát triển nên quét mã nguồn và kho lưu trữ của họ để tìm bất kỳ việc sử dụng React nào bằng cách sử dụng liên kết này .