Quản trị viên và người bảo vệ tự mình chống lại máy chủ có mức độ nghiêm trọng tối đa

“Tôi thường không nói điều này, nhưng hãy vá ngay lập tức, ’ một nhà nghiên cứu viết. “Danh sách React CVE (CVE-2025-55182) là 10.” hoàn hảo

Các phiên bản React 19.0.0, 19.1.0, 19.1.1, 19.2.0 chứa mã dễ bị tấn công. Các thành phần của bên thứ ba được biết là bị ảnh hưởng bao gồm:

• Plugin Vite RSC
• Plugin bưu kiện RSC
• React Router RSC xem trước
• RedwoodSDK
• Waku
• Next.js

Theo Wiz và công ty bảo mật đồng nghiệp Aikido, lỗ hổng, được theo dõi là CVE-2025-55182, nằm trong Flight, một giao thức được tìm thấy trong React Server Components. Next.js đã gán ký hiệu CVE-2025-66478 để theo dõi lỗ hổng trong gói của nó.

Lỗ hổng này bắt nguồn từ quá trình giải tuần tự hóa không an toàn, quá trình mã hóa để chuyển đổi chuỗi, luồng byte và các định dạng “serialized” khác thành đối tượng hoặc cấu trúc dữ liệu trong mã. Tin tặc có thể khai thác quá trình khử tuần tự không an toàn bằng cách sử dụng tải trọng thực thi mã độc trên máy chủ. Các phiên bản Patched React là 19.0.1+, 19.1.2+ và 19.2.1. Chúng bao gồm xác nhận chặt chẽ hơn và hành vi giải tuần tự hóa cứng rắn hơn.

“Khi máy chủ nhận được tải trọng không đúng định dạng, được chế tạo đặc biệt, nó sẽ không xác thực cấu trúc một cách chính xác,” Wiz giải thích. “Điều này cho phép dữ liệu do kẻ tấn công kiểm soát ảnh hưởng đến logic thực thi phía máy chủ, dẫn đến việc thực thi mã JavaScript đặc quyền.”

Công ty cho biết thêm:

Trong thử nghiệm của chúng tôi, việc khai thác lỗ hổng này có độ trung thực cao, với tỷ lệ thành công gần 100% và có thể được tận dụng để thực thi mã từ xa hoàn toàn. Vectơ tấn công không được xác thực và ở xa, chỉ yêu cầu yêu cầu HTTP được tạo đặc biệt tới máy chủ đích. Nó ảnh hưởng đến cấu hình mặc định của các framework phổ biến.

Cả hai công ty đều đang tư vấn cho quản trị viên và nhà phát triển nâng cấp React và bất kỳ phụ thuộc nào dựa vào nó. Người dùng của bất kỳ khung và plugin hỗ trợ từ xa nào được đề cập ở trên nên kiểm tra với người bảo trì để được hướng dẫn. Aikido cũng đề nghị quản trị viên và nhà phát triển quét cơ sở mã và kho lưu trữ của họ để tìm bất kỳ cách sử dụng React nào này liên kết.