CVE-2025-55182: React-тағы қауіпті RCE осалдығы — Сіздің Next.js қосымшаңыз бұзылған ба?

CVE-2025-55182, қауіпсіздік зерттеушілері "React2Shell" деп атаған, React Server Components "Flight" хаттамасындағы қауіпті қашықтан код орындау (RCE) осалдығы. Осалдық серверде RSC пакеттерін өңдеу кезінде қауіпсіз емес десериализациядан туындайды. Бұл осалдық аутентификацияланбаған шабуылшыға арнайы жасалған HTTP сұрауын жіберу арқылы сервериңізде кез келген JavaScript кодын орындауға мүмкіндік береді. Аутентификация қажет емес. Пайдаланушы әрекеті қажет емес. Бір зиянды сұрау — және сервериңіз бұзылды.

Осалдық арнайы жасалған, бұрмаланған RSC пакеттерінің қауіпсіз емес өңделуін пайдаланады. Сервер мұндай пакетті алғанда, құрылымды дұрыс тексермейді, бұл шабуылшы басқаратын деректерге сервер жағындағы орындау логикасына әсер етуге мүмкіндік береді. Шабуыл процесі қарапайым: 1. Шабуылшы HTTP POST сұрауы арқылы бұрмаланған RSC пакетін жібереді 2. Сервер пакетті тиісті тексерусіз десериализациялайды 3. Шабуылшы басқаратын код сервер құқықтарымен орындалады 4. Сервердің толық бұзылуына қол жеткізілді Бұл әсіресе қауіпті, өйткені create-next-app әдепкі конфигурациялары осал. Егер сіз соңғы бір жылда App Router-мен Next.js қосымшасын орналастырсаңыз, сіз қауіп астында болуыңыз мүмкін.

CVSS бағасы: 9.8 (қауіпті) Бұл осалдықтың әсерін асыра бағалау мүмкін емес: • Аутентификациясыз RCE: Шабуылшыларға тек жасалған HTTP сұрауын жіберу жеткілікті • Әдепкі конфигурациялар осал: Стандартты create-next-app орналастырулары қауіп астында • 100%-ға жақын сенімділік: Тестілеу жоғары тұрақты пайдалану сәттілігін көрсетті • Белсенді пайдалану: Нақты шабуылдар 2025 жылдың 5 желтоқсанынан басталды Wiz қауіпсіздік зерттеушілері белсенді пайдалану науқандарын байқады, соның ішінде: - Орта айнымалыларынан тіркелгі деректерін жинау - Криптомайнинг пайдалы жүктемелерін орналастыру - Тұрақты қол жеткізу үшін кері қабықшаларды орнату - Деректерді эксфильтрациялау әрекеттері

React пакеттері (react-server-dom-webpack, react-server-dom-parcel, т.б.): • 19.0.0 (барлық құрастырулар) • 19.1.0, 19.1.1 • 19.2.0 Next.js (App Router қосылған): • 14.3.0-canary.77 және кейінгі canary шығарылымдары • 15.0.0-ден 15.0.4-ке дейін • 15.1.0-ден 15.1.8-ге дейін • 15.2.0-ден 15.2.5-ке дейін • 15.3.0-ден 15.3.5-ке дейін • 15.4.0-ден 15.4.7-ге дейін • 15.5.0-ден 15.5.6-ға дейін • 16.0.0-ден 16.0.6-ға дейін Басқа зардап шеккен фреймворктар: • Vite RSC plugin • Parcel RSC • React Router (RSC-мен) • RedwoodSDK • Waku

Дереу жаңарту — жалғыз сенімді шешім. Осы түзетілген нұсқаларға жаңартыңыз: Жаңарту үшін орындаңыз:

# npm үшін
npm update react react-dom next

# yarn үшін
yarn upgrade react react-dom next

# pnpm үшін
pnpm update react react-dom next

# Нұсқаларыңызды тексеріңіз
npm list react next

Ағымдағы нұсқаларыңызды тексеру үшін осы командаларды орындаңыз:

# React нұсқасын тексеру
npm list react

# Next.js нұсқасын тексеру
npm list next

# App Router пайдаланылуын тексеру
# Жоба түбірінде 'app' каталогын іздеңіз

Егер сіз жоғарыда көрсетілген зардап шеккен нұсқалардың кез келгенін және App Router ('app' каталогын) пайдалансаңыз, сіз осалсыз және дереу жаңартуыңыз керек. TEPTEZ сіздің қосымшаларыңызды осы және басқа CVE осалдықтарына автоматты түрде скенерлей алады. Біздің платформа осал тәуелділіктерді анықтайды және жою бойынша нұсқаулар береді.

• 2025 қараша: Осалдықты қауіпсіздік зерттеушілері тапты • 2025 жылдың 2 желтоқсаны: React командасына хабарланды • 2025 жылдың 3 желтоқсаны: React командасынан ресми хабарлама жарияланды • 2025 жылдың 4 желтоқсаны: Барлық зардап шеккен нұсқалар үшін патчтар шығарылды • 2025 жылдың 5 желтоқсаны: Белсенді пайдалану анықталды • 2025 жылдың 6 желтоқсаны: Wiz толық техникалық талдауды жариялады