文章总结： CVE-2025-55182是React服务器组件中无需认证的远程代码执行漏洞，CVSS评分满分。攻击者可通过构造恶意数据包直接控制服务器，利用门槛极低。鉴于React及Next.js的广泛应用，该漏洞危害极大，被称为React2Shell，建议相关团队立即升级修复以防范风险。
综合评分： 88
文章分类： 漏洞预警,漏洞分析,WEB安全
React 服务器组件爆出“核弹级”漏洞：CVE-2025-55182 到底有多严重？
云梦DC
云梦DC
云梦安全
2026年1月27日 10:06
河南
如果你所在的团队正在使用 React 服务器组件（RSC），
那这条漏洞信息，你必须认真看完。
2025 年底，一个编号为 CVE-2025-55182 的漏洞被公开，安全圈很快给它起了一个外号：
React2Shell
原因只有一个——
它的危险等级，被认为不亚于当年的 Log4Shell。
#
一、先说结论：这是一个“无需登录的远程代码执行漏洞”
CVE-2025-55182 是一个发生在 React 服务器组件（React Server Components，RSC） 中的严重安全漏洞。
一句话说明白它的危险性：
攻击者不需要身份认证，只要发送特制的数据，就可能在服务器上执行任意代码。
也就是说，这不是前端问题，
而是直接打到服务器执行层的问题。
正因如此，该漏洞的 CVSS 基础评分被评为 10.0（满分），属于安全体系中最高危的一类。
二、什么是 RSC？为什么这个功能本身就“天然敏感”
React Server Components（RSC）是 React 推出的一种全新架构思路。
它的核心目标很简单：
- 把一部分原本运行在浏览器里的组件
- 提前放到服务器端执行
- 减少前端 JS 体积，提升性能和体验
为此，React 引入了一套新的通信机制——
Flight 协议，用于在服务器与客户端之间传输组件状态和渲染结果。
从架构角度看，这是一次很有野心的尝试：
- React 18 中以实验形态出现
- React 19 开始大规模使用
- Next.js 等主流框架全面接入
但问题也正出在这里——
一旦 UI 组件具备“服务器执行能力”，
它的安全边界就不再只是前端。
三、漏洞是怎么被发现的？
CVE-2025-55182 的发现者，是澳大利亚安全研究员 Lachlan Davidson。
时间线非常清晰：
- 2025 年 11 月 29 日：私下向 React 团队报告漏洞
- 12 月初：React 官方确认并修复
- 12 月 3 日：漏洞公开，分配 CVE 编号
随后，Next.js 团队也发现自身存在类似问题，并发布了单独的安全公告。但最终确认：
Next.js 的问题，本质上仍然源自 React RSC 本身
因此相关 CVE 被合并，统一归入 CVE-2025-55182。
四、为什么这个漏洞会被评为 CVSS 10.0？
CVSS 满分并不常见，它通常意味着以下几个条件同时成立：
- ✔ 可远程攻击
- ✔ 无需身份认证
- ✔ 可直接执行代码
- ✔ 影响默认配置
- ✔ 几乎没有缓解空间
而 CVE-2025-55182 恰好全部命中。
在默认 RSC 场景下，攻击者只需构造恶意的 RSC 协议数据包，即可触发服务器端执行逻辑。
换句话说：
即使你什么“骚操作”都没做，
只要启用了 RSC，就可能中招。
这也是为什么很多安全研究者直接将其类比为：
“JavaScript 世界的 Log4Shell”
五、“React2Shell”这个名字，并不是危言耸听
“React2Shell”这个名字，并非社区随意起的梗。
它的命名逻辑，与 Log4Shell 几乎一致：
- Log4Shell：从日志系统 → 拿到 Shell
- React2Shell：从 React → 拿到 Shell
“2” 代表 to，含义非常直观：
从 React，一步走到服务器控制权。
漏洞发现者甚至专门建立了网站，对该漏洞进行集中说明和澄清，避免开发者低估风险。
六、影响范围为什么会这么大？
原因只有一句话：
React 的生态太大了。
根据行业统计，超过 80% 的前端项目使用 React。
而 RSC 又被 Next.js 等主流框架作为重点特性推广。
这意味着：
- 大量新项目默认开启
- 很多团队并未意识到其安全影响
- 一旦被利用，横向影响极快
更关键的是——
该漏洞的利用门槛极低。
一次 HTTP 请求，
一个构造好的载荷，
就足以触发攻击。
github：https://github.com/msanft/CVE-2025-55182
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：云梦安全 云梦DC
云梦DC《React 服务器组件爆出“核弹级”漏洞：CVE-2025-55182 到底有多严重？》