文章总结： ReactServerComponents和Next.js存在高危远程代码执行漏洞(CVE-2025-55182和CVE-2025-66478)，攻击者可通过构造恶意表单请求直接调用Node.js内置模块，执行任意系统命令。漏洞影响ReactServer19.0.0-19.2.0及Next.js15.0.0-16.0.6等多个版本。官方已发布安全补丁，建议尽快更新至ReactServer19.0.1、19.1.2或19.2.1版本进行修复。
综合评分： 82
文章分类： 漏洞分析,漏洞预警,WEB安全,应用安全,应急响应
漏洞速递 | 已复现 CVE-2025-55182 RCE漏洞（建议自查修复）
原创
Xiao
渗透Xiao白帽
2025年12月4日 11:27
北京
标题已修改
0x01 前言
React Server Components 远程代码执行漏洞(CVE-2025-55182)和Next.js 远程代码执行漏洞(CVE-2025-66478)，此漏洞主要影响 react-server-dom-webpack 的 Server Actions 功能。由于在解析客户端提交的表单时缺少安全校验，攻击者可通过构造恶意表单请求，直接调用 Node.js 内置模块，从而在服务器上执行任意系统命令、读写任意文件，甚至完全接管服务；同时由于Next.js 15.x和16.x版本在使用App Router时，依赖了存在缺陷的React服务端DOM包，导致攻击者同样可以注入恶意代码远程执行命令。该漏洞利用简单、隐蔽性强，仅需一次 HTTP POST 请求即可触发。鉴于该漏洞影响范围较大，建议尽快做好自查及防护。
0x02 漏洞等级
高危
0x03 漏洞影响
React Server 19.0.0React Server 19.0.1 (注：部分早期补丁未完全覆盖)React Server 19.1.*React Server 19.2.0Next.js v15.0.0 - v15.0.4Next.js v15.1.0 - v15.1.8Next.js v15.2.x - v15.5.6Next.js v16.0.0 - v16.0.6Next.js v14.3.0-canary.77 及以上 Canary 版本
0x04 漏洞复现
EXP：
success
0x05 修复建议
官方已发布安全补丁，请及时更新至最新版本：
修复解决方案（含漏洞补丁）：官方已发布安全补丁，请及时更新至最新版本：React Server 19.0.1React Server 19.1.2React Server 19.2.1下载地址：https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
网 安 考 证
需要考各类安全证书的可以扫码找我咨询，价格优惠、活动划算！
报名CISSP、CCSP、PTE、PTS、IRE、IRS、DSG、CCSK、CDSP、CZTP、ITIL4等符合活动标准的认证课程，可获得波司登羽绒服一件（可选）
往期推荐 · 有彩蛋
【超详细 | Python】CS免杀-Shellcode Loader原理(python)
【超详细 | 钟馗之眼】ZoomEye-python命令行的使用
【超详细 | 附EXP】Weblogic CVE-2021-2394 RCE漏洞复现
【超详细】CVE-2020-14882 | Weblogic未授权命令执行漏洞复现
【超详细 | 附PoC】CVE-2021-2109 | Weblogic Server远程代码执行漏洞复现
【漏洞分析 | 附EXP】CVE-2021-21985 VMware vCenter Server 远程代码执行漏洞
【CNVD-2021-30167 | 附PoC】用友NC BeanShell远程代码执行漏洞复现
【奇淫巧技】如何成为一个合格的“FOFA”工程师
【超详细】Microsoft Exchange 远程代码执行漏洞复现【CVE-2020-17144】
防丢失！历史文章备份
点击下方名片进入公众号
回复关键字【文章备份】获取下载链接****
走过路过的大佬们留个关注再走呗
往期文章有彩蛋哦
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：渗透Xiao白帽 Xiao《漏洞速递 | 已复现 CVE-2025-55182 RCE漏洞（建议自查修复）》