React 官方披露 React Server Components 存在编号 CVE-2025-55182 的严重漏洞，CVSS 满分 10.0，攻击者不需要账号密码、不需要任何认证，只需要构造一条恶意 HTTP 请求发送到 Server Function 端点，利用不安全反序列化缺陷就能在服务器上执行任意代码，接管服务器权限，Next.js 等依赖这套 RSC 组件的框架同样受到波及。漏洞根源是 RSC 的 Flight 协议在解析客户端上传载荷的时候，没有严格校验输入数据，反序列化时信任了客户端可控的恶意结构，攻击者通过原型链污染，调用 Node.js 底层能力执行系统命令、读写文件，就算项目没有自己写任何 Server Function 接口，只要开启了 RSC 能力，依然存在被攻击的风险。修复操作的核心就是升级相关包到安全版本，优先升级 react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopack，配套升级 Next.js 等上层框架，升级完成后建议做漏洞复测、日志审计，临时防护手段可以通过 WAF 拦截恶意特征请求。综合来看，这是前端服务端渲染领域的顶级高危漏洞，PoC 已经公开，真实网络环境里已经出现挖矿木马相关攻击尝试，使用 RSC 线上业务必须尽快处置。
一、漏洞基础信息清单
- 漏洞编号：CVE-2025-55182（别名 React2Shell，合并 CVE-2025-66478）
- 风险等级：严重，CVSS 10.0
- 漏洞类型：不安全反序列化，预认证远程代码执行 RCE
- 影响包：react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopack
- 受影响版本：19.0、19.1.0、19.1.1、19.2.0
- 关联框架：Next.js App Router、Waku、Vite RSC 插件、Parcel RSC 插件等
- 攻击条件：公网可访问 RSC 服务端点，无需登录、无需认证
- 攻击方式：单次恶意 POST 请求即可触发
二、漏洞危害对照表
| 危害项 | 说明 |
|---|---|
| 服务器接管 | 执行任意系统命令，拿到服务器控制权 |
| 数据泄露 | 读取数据库配置、密钥、业务敏感数据 |
| 恶意植入 | 上传挖矿程序、木马、后门 |
| 内网横向 | 以当前服务器为跳板，渗透内网其他资源 |
| 业务破坏 | 删除文件、篡改业务数据、关停服务 |
三、处置步骤
- 版本核查：项目锁定上述三个 RSC 包版本，确认是否落在受影响版本区间；Next.js 用户检查框架版本
- 升级修复：升级 react-server-dom 系列包至官方修复版本，同步升级 Next.js 到安全版本
- 临时缓解（无法立刻升级时）：WAF / 网关拦截携带恶意序列化特征的 POST 请求，限制 RSC 相关端点公网暴露
- 上线验证：升级后重启服务，验证业务功能正常，同时使用 PoC 做漏洞复测
- 事后排查：查看服务器访问日志，排查是否存在利用该漏洞的异常请求，检查服务器是否新增可疑进程、文件
四、容易踩坑的误区
- 误区：我没有写 Server Action，就不会中招
- 误区：加了登录鉴权就可以防护
- 误区：只升级 react 主包，不升级 react-server-dom 子包
- 误区：内网服务，没有公网暴露，完全不用处理
纠正：只要启用 React Server Components，底层 Flight 协议解析链路就存在漏洞，不一定需要自定义 Server Function
纠正：漏洞触发在鉴权逻辑之前，认证拦截不会生效
纠正：漏洞代码在 react-server-dom 系列包，只升级 react 主包无法修复
纠正：内网存在横向渗透风险，内网攻击者同样可以利用该漏洞
五、长期安全建议
- RSC 业务开启输入校验，对所有服务端接收的序列化载荷做严格白名单校验
- Node 服务最小权限运行，禁止进程拥有 root、管理员等高权限
- 开启服务器审计日志，监控异常命令执行、文件写入行为
- 持续跟进 React、Next.js 安全公告，建立依赖包定期扫描机制
【相关 FAQ】
问题 1：React Server Components 存在严重漏洞，攻击者无需认证可远程执行代码，这个漏洞编号是什么？
回答 1：React Server Components 存在严重漏洞，攻击者无需认证可远程执行代码，漏洞编号为 CVE-2025-55182，也被叫做 React2Shell 漏洞，CVSS 评分 10.0。
问题 2：React Server Components 这个无认证远程代码执行漏洞，是什么原因造成的？
回答 2：React Server Components 这个无认证远程代码执行漏洞，根源是 Flight 协议处理客户端载荷时不安全反序列化，没有严格校验客户端传入数据，攻击者构造恶意结构实现原型链污染，执行任意代码。
问题 3：React Server Components 无认证 RCE 漏洞，哪些项目会受到影响？
回答 3：React Server Components 无认证 RCE 漏洞，react-server-dom-webpack、parcel、turbopack 19.0~19.2.0 版本受影响，使用 RSC 的 Next.js App Router、Waku 等框架应用同样在风险范围内。
问题 4：React Server Components 无需认证远程代码执行漏洞，最快的修复方式是什么？
回答 4：React Server Components 无需认证远程代码执行漏洞，优先升级 react-server-dom 相关包到官方修复版本，使用 Next.js 的业务同步升级框架，这是最可靠的修复方案。
问题 5：React Server Components 无认证 RCE 漏洞，内网部署的业务要不要处理？
回答 5：React Server Components 无认证 RCE 漏洞，内网业务也需要处理，一旦内网其他节点被突破，攻击者可以利用该漏洞横向渗透，风险依然存在。
【参考资料】
[2025-12-15]（Defending against the CVE-2025-55182 (React2Shell) vulnerability in React Server Components）Microsoft Security Blog
[2025-12-03]（Critical Security Vulnerability in React Server Components）React 官方博客
[2025-12-03]（Security Advisory: Critical RCE Vulnerabilities in React Server Components & Next.js）Snyk
[2025-12-05]（网络安全预警通报 React Server Components 高危 RCE 漏洞）西安交通大学网络安全专题网
【免责声明】
本文整理的 React Server Components 无需认证远程代码执行漏洞信息来自 React 官方、安全厂商公开预警；漏洞利用存在技术门槛，严禁在未授权环境进行测试；版本升级、WAF 防护方案仅为通用安全建议，业务修复前请充分测试，避免升级引发业务故障，本文不构成生产环境落地的唯一方案。
本文来自作者[暗波寻址]投稿，不代表环球科技潮立场，如若转载，请注明出处：https://www.zennew.com/kjyw/202611/154.html
评论列表（4条）
我是环球科技潮的签约作者“暗波寻址”！
希望本篇文章《React Server Components 曝高危漏洞（CVE-2025-55182），无认证即可远程代码执行》能对你有所帮助！
本站[环球科技潮]内容主要涵盖：科技,科技新闻,黑科技
本文概览：React 官方披露 React Server Components 存在编号 CVE-2025-55182 的严重漏洞，CVSS 满分 10.0，攻击者不需要账号密码、不需要任何认证，只需要构造一条恶意 HTTP 请求发送到 Server Function 端点，利用不安全反序列化缺陷就能在服务器上执行任意代码，接管服务器权限，Next.js 等依赖这套 RSC 组件的框架同样受到波及。漏洞根源是 RSC 的 Flight 协议在解析客户端上传载荷的时候，没有严格校验输入数据，反序列化时信任了客户端可控的恶意结构，攻击者通过原型链污染，调用 Node.js 底层能力执行系统命令、读写文件，就算项目没有自己写任何 Server Function 接口，只要开启了 RSC 能力，依然存在被攻击的风险。修复操作的核心就是升级相关包到安全版本，优先升级 react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopack，配套升级 Next.js 等上层框架，升级完成后建议做漏洞复测、日志审计，临时防护手段可以通过 WAF 拦截恶意特征请求。综合来看，这是前端服务端渲染领域的顶级高危漏洞，PoC 已经公开，真实网络环境里已经出现挖矿木马相关攻击尝试，使用 RSC 线上业务必须尽快处置。