文章总结： ReactServerComponents存在CVE-2025-55182代码执行漏洞，影响ReactServer19.0.0至19.2.0版本及多个Next.js版本，攻击者可通过该漏洞实现命令执行和文件读取等操作。官方已发布修复方案，建议用户立即更新至最新版本以缓解风险。该漏洞影响广泛，包括使用ReactServerComponents实现的框架和插件。
综合评分： 75
文章分类： 漏洞分析,WEB安全,漏洞预警,代码审计,应用安全

[已复现]React CVE-2025-55182代码执行漏洞

原创

zzz

良月安全

2025年12月4日 11:52
浙江

免责声明 — 本公众号所发布的所有内容，包括但不限于信息、工具、项目以及文章，均旨在提供学习与研究之用。所有工具安全性自测。如因此产生的一切不良后果与文章作者和本公众号无关。如有涉及公司与个人敏感信息，侵权烦请告知，我们会立即删除并致歉。

CVE-2025-55182

影响版本

React Server 19.0.0

React Server 19.0.1 (注：部分早期补丁未完全覆盖)

React Server 19.1.*

React Server 19.2.0

Next.js v15.0.0 –   v15.0.4

Next.js v15.1.0 –   v15.1.8

Next.js v15.2.x –   v15.5.6

Next.js v16.0.0 –   v16.0.6

Next.js   v14.3.0-canary.77 及以上 Canary 版本

其他嵌入或依赖于 React Server Components 实现的框架和插件（例如 Vite、Parcel、React Router、RedwoodSDK、Waku）

漏洞复现

命令执行

vm代码执行

文件读取

修复建议

官方已发布修复方案，请访问链接下载：

 https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

参考链接

https://x.threatbook.com/v5/article?threatInfoID=161425

https://mp.weixin.qq.com/s/w0kQeB6oQMAjTlBazBcrsA

https://github.com/ejpir/CVE-2025-55182-poc/

关于星球

星球里有团队内部POC分享。星球定期更新安全内容，包括：内部漏洞库情报分享（包括部分未公开0/1day）、poc利用工具及内部最新研究成果。圈子目前价格为129元（交个朋友），后续人员加入数量多的话会考虑涨价（先到先得！！）感谢师傅们的支持！！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：良月安全 zzz《[已复现]React CVE-2025-55182代码执行漏洞》