文章总结： React/Next.js曝出高危漏洞CVE-2025-55182，CVSS评分10.0，影响ServerComponents功能，允许无需认证的远程代码执行。攻击者可通过精心设计的恶意表单请求调用Node.js内置模块，执行任意系统命令。受影响版本包括ReactServer19.0.0-19.2.0及Next.jsv14.3.0-canary.77及以上版本。官方已发布安全补丁，建议立即更新至ReactServer19.0.1、19.1.2或19.2.1版本以修复此漏洞。
综合评分： 91
文章分类： 漏洞分析,漏洞预警,WEB安全,应用安全,解决方案
【高危预警】React/Next.js 曝满分RCE漏洞，无需认证即可远程代码执行
聚铭网络
2025年12月4日 17:02
江苏
安全通告
近期，聚铭安全攻防实验室监测发现了一项与React Server Components相关的远程代码执行漏洞，该漏洞已被披露，编号为 CVE-2025-55182，CVSS 评分为 10.0。
该漏洞主要波及react-server-dom-webpack的Server Actions功能。由于在处理客户端提交的表单数据时，系统未能实施充分的安全性校验，导致攻击者能够通过精心设计的恶意表单请求，直接调用Node.js的内置模块。这使得攻击者能够在服务器端执行任意系统命令、进行文件的读写操作，甚至实现对服务的完全控制。该漏洞的利用过程简单且具有较高的隐蔽性，仅需一次HTTP POST请求即可激活。鉴于此漏洞可能对广泛的系统造成影响，建议相关用户立即进行自我检查并采取相应的防护措施。
漏洞信息
React 是由 Meta 开放源代码、用于构建用户界面的 JavaScript 库。其“React Server Components”（RSC）架构可使组件于服务端进行渲染并将输出序列化，借助“Flight”协议以JSON-like的流式格式传送至客户端，达成零客户端 JS 体积的交互体验。RSC 已为 Next.js、Shopify Hydrogen、Gatsby 5 等主流框架所采用，在电商、SaaS、内容站点等领域得到广泛应用。
React Server Functions 允许客户端调用服务器上的函数。React 提供了集成点和工具，供框架和打包工具使用，以帮助 React 代码在客户端和服务器上运行。React 将客户端的请求转换为 HTTP 请求，并将其转发到服务器。在服务器上，React 将 HTTP 请求转换为函数调用，并将所需数据返回给客户端。未经身份验证的攻击者可以精心构造一个恶意的 HTTP 请求到任何 Server Function 端点，当 React 对其进行反序列化时，可以在服务器上实现远程代码执行。有关此漏洞的更多详细信息将在修复程序全面推出后提供。
复现过程
聚铭安全攻防实验室已成功复现该漏洞，具体步骤如下：
1、靶机搭建
进入漏洞验证目录并启动服务：
cd /CVE-2025-55182-poc
npm install
node –conditions react-server –conditions webpack src/server.js
服务启动后，本地将监听 http://localhost:3002。
2、命令执行
执行以下命令发起攻击（以执行 id 命令为例）：
node exploit-rce-v4.js
攻击脚本成功返回命令执行结果，证实远程代码执行（RCE）漏洞真实存在。
影响版本
受影响的React Server组件版本：
- React Server 19.0.0
- React Server 19.0.1 （注：部分早期补丁未完全覆盖）
- React Server 19.1.*
- React Server 19.2.0
其他受影响的框架/工具：
- Next.js v15.0.0-v15.0.4
- Next.js v15.1.0-v15.1.8
- Next.js v15.2.x-v15.5.6
- Next.js v16.0.0-v16.0.6
- Next.js v14.3.0-canary.77 及以上 Canary 版本
处置建议
目前，官方已发布安全补丁，建议所有受影响的用户立即更新至最新版本：
- React Server 19.0.1
- React Server 19.1.2
- React Server 19.2.1
补丁下载地址：
https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
结 语
聚铭网络已将 CVE-2025-55182 纳入高危漏洞监控清单，旗下聚铭安全管家平台以及聚铭网络脆弱性扫描系统等产品均已完成规则更新，可精准检测识别该漏洞。
如您需要以下支持：漏洞扫描与风险评估、应急响应与处置、安全加固与架构优化等，请立即联系聚铭网络安全服务团队，我们将第一时间为您提供专业、高效的防护保障。
★
往期回顾
★
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：聚铭网络 《【高危预警】React/Next.js 曝满分RCE漏洞，无需认证即可远程代码执行》