KnowSafe 安全预警：React Server Components 反序列化远程代码执行漏洞（CVE-2025-55182）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-55182 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

React Server Components（RSC）是 React 19 的服务端渲染与组件流式传输机制，广泛用于 Next.js等框架中进行渲染服务。在受影响版本中，由于 RSC 在处理 ReplyFlightStream 的反序列化数据时，攻击者可构造恶意请求，最终导致未授权代码执行。

受影响版本

react-server-dom-parcel 19.0, 19.1.0, 19.1.1, 19.2.0

react-server-dom-turbopack 19.0, 19.1.0, 19.1.1, 19.2.0

react-server-dom-webpack 19.0, 19.1.0, 19.1.1, 19.2.0

安全版本

react-server-dom-parcel 19.0.1, 19.1.2, 19.2.1

react-server-dom-turbopack 19.0.1, 19.1.2, 19.2.1

react-server-dom-webpack 19.0.1, 19.1.2, 19.2.1

影响范围

应用：facebook react（版本 19.0.0）

应用：facebook react（版本 19.1.0）

应用：facebook react（版本 19.1.1）

应用：facebook react（版本 19.2.0）

应用：vercel next.js（影响面 Up to (excluding) 15.0.5）

应用：vercel next.js（影响面 Up to (excluding) 15.1.9）

应用：vercel next.js（影响面 Up to (excluding) 15.2.6）

应用：vercel next.js（影响面 Up to (excluding) 15.3.6）

……另有 6 项受影响环境，详见官方公告

解决方案

1、若使用版本在受影响范围内，建议升级至最新版本

2、云安全中心无代理检测应用漏洞以及镜像安全扫描已支持针对该漏洞进行检测。

参考信息

http://www.openwall.com/lists/oss-security/2025/12/03/4

https://aws.amazon.com/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/

https://news.ycombinator.com/item?id=46136026

https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-55182

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。