React与Next.js的RSC漏洞：未认证远程代码执行风险解析
云安全公司Wiz近日披露，React Server Components（RSC）在处理有效载荷时存在不安全的逻辑反序列化漏洞，这一设计缺陷导致攻击者可利用其实现远程代码执行。
免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈
React服务端组件中发现一个被标记为最高严重级别的安全漏洞，成功利用该漏洞的攻击者能够在服务器端执行任意代码。该漏洞编号为CVE-2025-55182，CVSS评分为10.0分。
React团队在最新发布的警报中说明："该漏洞允许攻击者通过利用React解码发送至React服务端函数端点的有效载荷时的缺陷，实现未经认证的远程代码执行。即使应用程序未实现任何服务端函数端点，只要支持React服务端组件，仍有可能遭受攻击。"
安全研究人员指出，该问题源于以不安全方式处理RSC有效载荷导致的逻辑反序列化漏洞。攻击者可构造恶意HTTP请求发送至任意服务端函数端点，当React反序列化该请求时，即可在服务器上执行任意JavaScript代码。
受影响版本与修复方案
该漏洞影响以下npm包的19.0、19.1.0、19.1.1和19.2.0版本：
react-server-dom-webpack
react-server-dom-parcel
react-server-dom-turbopack
漏洞已在19.0.1、19.1.2和19.2.1版本中修复。新西兰安全研究员Lachlan Davidson因在2025年11月29日发现并报告该漏洞获得致谢。
Next.js及其他框架受影响情况
值得注意的是，该漏洞同样影响使用App Router的Next.js框架，漏洞编号为CVE-2025-66478（CVSS评分：10.0）。受影响版本包括≥14.3.0-canary.77、≥15和≥16。已修复版本为16.0.7、15.5.7、15.4.8、15.3.6、15.2.6、15.1.9和15.0.5。
任何集成RSC的库都可能受此漏洞影响，包括但不限于Vite RSC插件、Parcel RSC插件、React Router RSC预览版、RedwoodJS和Waku框架。
漏洞影响范围与修复建议
Wiz公司调查显示，39%的云环境中存在受CVE-2025-55182和/或CVE-2025-66478影响的实例。鉴于漏洞的严重性，建议用户尽快应用修复补丁以获得最佳防护。
相关攻略
攻击者持续扫描互联网寻找未打补丁的基础设施，利用已知漏洞部署恶意软件或建立入侵企业网络的初始通道。 过时系统构成重大攻击面2026年3月23日，Shadowserver基金会在例行网络扫描中发现超过
工具采用基于标志位的输出控制机制，便于AI编程Agent将其作为子进程调用时，能高效解析输出而无需额外token开销。 工具概述密钥扫描已成为工程组织的标准实践，而Gitleaks是该领域应用最广泛
为应对风险，建议用户和企业采取以下措施：加强网络控制、避免OpenClaw默认管理端口暴露在互联网、采用容器隔离服务、避免明文存储凭证、仅从可信渠道下载技能模块、禁用技能自动更新功能，以及保持代理程
目前该漏洞尚无特定的威胁检测签名，因此主动打补丁和严格的权限管理至关重要。 漏洞概述Splunk发布紧急安全公告，警告用户其Enterprise和Cloud平台存在一个高危漏洞（CVE-2026-2
OpenAI称，该工具能建立对整个项目的上下文理解，从而专注于实际可被利用的漏洞，解决了应用安全团队长期面临的警报疲劳问题。 OpenAI新推出的应用安全Agent——Codex Security在
热门专题
热门推荐
可通过电子税务局 、随申办App 小程序、个税APP三种方式查询下载个税纳税记录：电子税务局需登录后搜索或按路径进入，下载PDF用身份证后6位解密；随申办依托统一认证，支持直接保存
3月26日，在SEMICON China 2026“半导体智能制造-未来工厂”论坛上，一场关于半导体制造AI未来形态的思想碰撞引发行业瞩目。智现未来董事长兼CEO管健博士受邀登台，发表题为《从“+A
南都讯 记者李洁琼 3月28日，珠海天际航空科技有限公司在金湾区天章产业园开业。作为珠海低空经济产业的新锐力量，天际航空智能制造基地的投运，标志着金湾区在载人级飞行器制造领域迈出关键一步，为珠海“天
来源：中国新闻网中新社杭州3月27日电 (鲍梦妮)随着机器人产业发展以及春晚机器人表演等热点带动，今年以来，中国多地机器人租赁业务持续升温。在上海上线的全球首个开放式机器人租赁平台“擎天租”，自去年
大象新闻·大象财富记者 李莉 张迪驰315消费者权益日刚过，广东李女士在某平台购买的“全新”打印机频繁报错，维修无果。她查询最新质保发现，整机标注保修三年，系统却显示剩余保修期不足两年，经售后核实确