这次安全漏洞堪称React生态近年来最严重的一次。它影响范围广泛、触发条件简单，属于“只要部署就可能中招”的级别。若您的线上项目运行在React 19或Next.js App Router上，请尽快完成版本升级。

12月3日，React官方发布了一份罕见的紧急安全公告：React Server Components（RSC）存在一个最高级别（CVSS 10.0）的安全漏洞。Next.js团队随后发文确认同样受到影响。

如果您正在使用React 19 + RSC，或是基于Next.js的App Router开发，请立即检查项目版本。

漏洞原理是什么？

RSC在处理服务端请求时，需要将客户端发送的数据进行反序列化。问题就出在这里——类型验证不够严格，导致攻击者可以伪造“恶意RSC请求”，诱骗服务器执行危险代码。

具体表现为：

• 无需用户登录

• 无需任何权限

• 只要能访问到您的服务接口

• 就可能直接运行服务器端代码

正因如此，这个漏洞才会被评为满分10分的严重级别。

哪些版本受影响？

React相关包：

• react-server-dom-webpack/ parcel / turbopack（19.0 ~ 19.2的部分版本）

Next.js方面：

• 所有基于App Router + RSC的版本几乎都受影响

• 包括大多数15.x、16.x稳定版

• 以及14.3.0-canary.77之后的部分测试版

如果您的项目仍在使用pages router，或者未启用RSC功能，本次风险相对较小。

为何后果如此严重？

RSC引入了一套全新的序列化协议，而这次的漏洞让攻击者能够伪造协议消息。只要您的应用在线暴露了相关接口，风险就是“默认存在”的。更糟糕的是，很多团队可能根本没有意识到自己已经启用了RSC。

如何解决？升级是唯一修复方案

React和Next.js均已发布修复版本。

React用户请执行：

npm install react-server-dom-webpack@latest

Next.js用户需升级至：

• 15.x → 升级到最新补丁（如15.0.5、15.1.9等）

• 16.x → 升级到16.0.7

• 使用14.3-canary的，建议回退至稳定版14.x

官方明确表示：没有任何配置可以临时规避漏洞，只能通过升级解决。

快速自检清单

1. 您的项目是否在使用Next.js App Router？

2. 依赖包是否包含12月3日前安装的React 19？

3. lock文件中是否出现受影响版本的react-server-dom-*？

4. CI流程是否会使用旧缓存重新部署？

5. 服务是否直接暴露在公网？

若以上问题有两项符合，就需要立即安排升级。

最后提醒

这是React生态系统近年来遭遇的最严重安全事件。影响范围之大、触发条件之简单，属于“部署即存在风险”的级别。如果您的线上项目基于React 19或Next.js App Router，请尽快完成升级。

安全问题不容拖延，这次尤为如此。