文章总结： React/Next.js组件存在严重远程代码执行漏洞CVE-2025-55182，影响多个版本，攻击者无需身份验证即可通过HTTP请求执行任意代码，全球存在超800万风险资产，建议立即升级到最新安全版本或实施WAF拦截和IP白名单等临时缓解措施
综合评分： 85
文章分类： 漏洞预警,WEB安全,漏洞分析,解决方案,网络安全

漏洞预警 | React/Next.js组件存在RCE漏洞（CVE-2025-55182）

原创

Beacon Tower Lab

Beacon Tower Lab

2025年12月4日 13:59
四川

一、漏洞概述

| | |
| — | — |
| 漏洞类型 | 远程代码执行 |
| 漏洞等级 | 高 |
| 漏洞编号 | CVE-2025-55182 _ |
| 漏洞评分 | 10.0 |
| 利用复杂度 | 低 |
| 影响版本 | React/Next.js多个版本 |
| 利用方式 | 远程 |
| POC/EXP | 已公开 |

近日，React 核心团队确认了一个存在于 React Server Components (RSC) 实现中的严重远程代码执行 (RCE) 漏洞。该漏洞被分配了 CVE-2025-55182（Next.js 对应编号 CVE-2025- 66478），攻击者无需任何身份验证，仅通过一个 HTTP 请求，即可在你的服务器上执行任意代码。

React是一个用于构建用户界面的JavaScript库，广泛用于开发单页应用程序和移动应用程序。

据描述，受影响版本的React 服务器组件实现的应用程序可能会以允许攻击者执行远程代码的方式处理不受信任的输入，在特定条件下，精心构造的请求可能导致远程代码执行。

漏洞影响的产品和版本：

React Server 19.0.0

React Server 19.0.1

React Server 19.1.*

React Server 19.2.0

Next.js v15.0.0 – v15.0.4

Next.js v15.1.0 – v15.1.8

Next.js v15.2.x -v15.5.6

Next.js v16.0.0 – v16.0.6

Next.js v14.3.0-canary.77及以上Canary 版本

二、漏洞复现

三、资产测绘

据daydaymap数据显示互联网存在8,209,309个资产，国内风险资产分布情况如下。

四、解决方案

▪ 临时缓解方案

1.在 WAF 中拦截异常 RSC 请求

2.对 RSC 端点实施IP 白名单或速率限制

▪ 升级修复

目前官方已发布修复安全补丁

https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-component

五、参考链接

https://github.com/ejpir/CVE-2025-55182-pochttps://www.ddpoc.com/DVB-2025-10412.html

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Beacon Tower Lab Beacon Tower Lab《漏洞预警 | React/Next.js组件存在RCE漏洞（CVE-2025-55182）》