Обнаружена критическая уязвимость в React Server Components (CVE‑2025‑55182) и Next.js (CVE‑2025‑66478)

В React Server Components обнаружена критическая уязвимость CVE‑2025-55182 с максимальной оценкой CVSS 10. Она позволяет неаутентифицированному злоумышленнику выполнять произвольный код на уязвимом сервере.

Уязвимы компоненты React следующих версий: 19.0; 19.1.0; 19.1.1; 19.2.0.

Уязвимы следующие пакеты React:

Дополнительно уязвимость затронула следующие фреймворки:

В случае Next.js уязвимы версии:

Как можно скорее обновите уязвимые компоненты!

Эксплуатация уязвимости уже блокируется BI.ZONE WAF, а потенциально уязвимые веб‑приложения можно определить с помощью механизма определения стека веб‑приложений в BI.ZONE CPT.

Дополнительная информация:

• https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
• https://nextjs.org/blog/CVE-2025-66478