首页 游戏 软件 资讯 排行榜 专题
首页
科技数码
React高危漏洞CVE-2025-55182预警:Next.js服务端组件面临远程代码执行风险

React高危漏洞CVE-2025-55182预警:Next.js服务端组件面临远程代码执行风险

热心网友
98
转载
2025-12-05

React 核心团队发出警示:"即便您的应用程序尚未实现任何 React 服务端函数端点,只要支持 React 服务端组件功能,就依然存在安全隐患。"

免费影视、动漫、音乐、游戏、小说资源长期稳定更新! 👉 点此立即查看 👈

12月4日,React 团队在发现影响现代 React 生态系统的严重安全漏洞后,紧急发布了安全公告。该漏洞被评定为最高风险级别,可导致未经授权的攻击者在运行 React 服务端组件的服务器上执行任意代码。

该漏洞由安全研究员 Lachlan Davidson 发现,存在于客户端与服务端之间的通信层面。该漏洞被分配编号 CVE-2025-55182,CVSS 评分高达 10.0 分——这一评分仅适用于最危险的安全缺陷,即那些易于利用、无需认证且可导致系统完全沦陷的漏洞。

该漏洞的威胁范围尤其令人担忧,因为它超出了常规使用场景。开发者可能认为只要没有主动使用服务端函数就是安全的,但 React 团队明确指出:"即便您的应用没有实现任何 React 服务端函数端点,只要支持 React 服务端组件,就可能面临风险。"

漏洞原理:反序列化过程缺陷

漏洞存在于反序列化过程中——即 React 如何将客户端发送的数据转换回服务端可执行操作。正常流程下,React 会将客户端请求转换为 HTTP 请求,服务端再将其解析为函数调用。但这个解码过程中存在的缺陷为恶意代码注入打开了方便之门。

"未经授权的攻击者可以向任何服务端函数端点构造恶意 HTTP 请求,当被 React 反序列化时,即可实现服务端远程代码执行。"这使得攻击者能够绕过安全控制,直接在主机服务器上运行命令。

影响范围:核心包与主流框架

问题根源在于特定底层包:react-server-dom-webpack、react-server-dom-parcel 和 react-server-dom-turbopack。受影响版本涵盖 19.0 至 19.2.0。由于这些包是基础组件,漏洞会级联影响主要框架和打包工具。公告指出:"以下 React 框架和打包工具受到影响:next、react-router、waku、@parcel/rsc、@vitejs/plugin-rsc 和 rwsdk。"

修复方案:立即升级

React 团队和框架维护者已发布补丁,必须立即升级以确保应用安全:

(1) React 核心包:19.0.1、19.1.2 和 19.2.1 版本已修复

(2) Next.js 用户:必须立即升级到对应发布线的最新修补版本:

v15.0.x → 安装 next@15.0.5v15.1.x → 安装 next@15.1.9v16.0.x → 安装 next@16.0.7

注意:Next.js 14.3.0-canary.77 或更高版本的用户应降级至 next@14

(3) React Router 及其他框架:在 React Router、Waku 或 Redwood SDK 中使用不稳定 RSC API 的用户,应立即通过 npm install 将 react、react-dom 及其特定 server-dom 包(webpack/parcel)更新至最新版本。

来源:https://www.51cto.com/article/831239.html
免责声明: 游乐网为非赢利性网站,所展示的游戏/软件/文章内容均来自于互联网或第三方用户上传分享,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系youleyoucom@outlook.com。

相关攻略

网络安全及网络安全评估的脆弱性分析
网络安全
网络安全及网络安全评估的脆弱性分析

一、网络安全 (一)网络安全的定义 提到网络安全,其实可以把它理解为一个多维度的“健康状态”。它关乎计算机网络系统中的硬件、数据、程序,确保它们不会因为无意或恶意的原因遭到破坏、篡改或泄露。换句话说,就是既要防止非授权访问,又要保障系统服务能可靠、连续地运行。 有意思的是,网络安全的具体内涵,往往取

热心网友
04.28
网络安全需要掌握哪些技能?网络安全怎么学?
网络安全
网络安全需要掌握哪些技能?网络安全怎么学?

网络安全工程师:核心技能与每日实战 数字化浪潮席卷之下,网络空间的安全防线变得前所未有的重要。无论对政府、企业还是个人用户而言,一次系统漏洞或数据泄露都可能造成难以估量的损失。正因如此,作为数字世界的“守门人”,网络安全工程师的角色正变得至关重要。今天,我们就来深入聊聊,要胜任这份工作,究竟需要打磨

热心网友
04.28
CTF网络安全大赛
网络安全
CTF网络安全大赛

CTF是什么?网络安全竞赛的全面解读 对于网络安全领域之外的朋友而言,CTF可能是一个陌生的术语。简单来说,CTF(Capture The Flag,夺旗赛)是网络安全技术人员之间进行技术竞技与交流的核心形式,常被喻为安全界的“奥林匹克”或“华山论剑”。其诞生源于一个朴素的初衷:黑客们需要一种安全、

热心网友
04.28
网络安全是什么?学习网络安全需要多少钱?
网络安全
网络安全是什么?学习网络安全需要多少钱?

网络安全是什么? 在当今数字化时代,网络安全的重要性已不言而喻。无论是企业运营还是个人生活,一旦忽视安全防护,都可能面临数据泄露、财产损失乃至声誉受损的风险。正因如此,市场对专业网络安全人才的需求日益迫切,学习网络安全技术也成为众多从业者提升竞争力的关键。那么,网络安全究竟涵盖哪些内容?参加系统性的

热心网友
04.19
论网络安全
网络安全
论网络安全

网络安全:构筑数字世界的信任基石 当您思考网络安全时,脑海中会浮现怎样的画面?是影视作品中黑客交锋的炫目场景,还是现实世界里数据泄露的警示新闻?实际上,它的内涵远比这些表象更为深远。网络安全,本质上是一套旨在全面保障计算机网络系统免受非法入侵、恶意攻击、服务中断及信息窃取的综合防护体系与技术实践。它

热心网友
04.19

最新APP

宝宝过生日
宝宝过生日
应用辅助 04-07
台球世界
台球世界
体育竞技 04-07
解绳子
解绳子
休闲益智 04-07
骑兵冲突
骑兵冲突
棋牌策略 04-07
三国真龙传
三国真龙传
角色扮演 04-07

热门推荐

领克GT概念跑车北京车展首发 百公里加速仅2秒
科技数码
领克GT概念跑车北京车展首发 百公里加速仅2秒

领克首款GT概念跑车亮相北京车展,由中欧团队联合打造。新车采用经典GT比例与低趴宽体设计,配备液态金属蓝涂装与2+2座舱,设有高性能模式按键可激活空气动力学套件。车辆采用后驱布局与AI智能运动控制系统,百公里加速约2秒,设计融合瑞典极简美学并参考全球用户反馈。

热心网友
05.14
英伟达RTX 5070移动版GPU发布 12GB显存性能大幅提升
科技数码
英伟达RTX 5070移动版GPU发布 12GB显存性能大幅提升

英伟达推出12GB显存版RTX5070移动GPU,与8GB版同步上市。两者均基于Blackwell架构,核心规格相同,仅显存容量不同。此举旨在缓解GDDR7芯片供应压力,为OEM提供灵活配置,加速笔记本产品布局,更大显存可更好满足游戏与AI应用需求。

热心网友
05.14
微星新款雾面WOLED显示器MAG 276QRY28与276QRDY54正式发售
科技数码
微星新款雾面WOLED显示器MAG 276QRY28与276QRDY54正式发售

微星将于5月15日推出两款26 5英寸雾面WOLED显示器MAG276QRY28和276QRDY54,售价分别为2499元和6299元。均采用第四代WOLED面板,具备QHD分辨率、VESADisplayHDRTrueBlack500认证、1500尼特峰值亮度及99 5%DCI-P3色域覆盖。276QRY28刷新率为280Hz,高阶款276QRDY54支持4

热心网友
05.14
中芯国际一季度净利润13.61亿元 同比增长0.4%
科技数码
中芯国际一季度净利润13.61亿元 同比增长0.4%

中芯国际2026年第一季度营收176 17亿元,同比增长8 1%;净利润13 61亿元,同比增长0 4%。公司预计第二季度收入环比增长14%至16%,毛利率指引上调至20%至22%。这反映出公司在行业复苏中展现出财务韧性,并通过运营优化增强了短期增长势头。

热心网友
05.14
AI图像处理训练数据存在色差问题 16种算法经小改动全面提升
AI
AI图像处理训练数据存在色差问题 16种算法经小改动全面提升

手机修图、相机降噪、视频去雾……这些我们日常使用的图像处理功能,其背后都离不开人工智能(AI)技术的驱动。通常,AI模型的训练逻辑是:向模型展示大量“低质图像”与“优质图像”的配对数据,让它学习如何将前者转化为后者。然而,天津大学计算机视觉团队近期发表的一项研究(arXiv:2604 08172)揭

热心网友
05.14