В популярной библиотеке для разработки веб-приложений React обнаружены две серьезные уязвимости, затрагивающие серверные компоненты (React Server Components). Эти бреши в безопасности могут привести к отказу в обслуживании (DoS) и несанкционированному доступу к исходному коду сервера. Проблемы были выявлены вскоре после исправления предыдущей критической уязвимости, связанной с удаленным выполнением кода.
Суть новых уязвимостей
Недавно исследователи безопасности обнаружили две новые проблемы при анализе исправлений для предыдущей критической уязвимости (CVE-2025-55182). Новые уязвимости классифицированы как:
- Отказ в обслуживании (Denial of Service) - Высокая степень серьезности (CVSS 7.5): Злоумышленник может отправить специально сформированный HTTP-запрос на сервер, использующий React Server Components. Этот запрос при десериализации вызывает бесконечный цикл, что приводит к зависанию процесса сервера и высокой загрузке процессора. В результате сервер перестает отвечать на запросы легитимных пользователей. Уязвимость затрагивает версии 19.0.0, 19.0.1, 19.1.0, 19.1.1, 19.1.2, 19.2.0 и 19.2.1. Ей были присвоены идентификаторы CVE-2025-55184 и CVE-2025-67779.
- Раскрытие исходного кода (Source Code Exposure) - Средняя степень серьезности (CVSS 5.3): Эта уязвимость (CVE-2025-55183) позволяет злоумышленнику при определенных условиях получить доступ к исходному коду серверных функций. Для эксплуатации необходимо, чтобы серверная функция принимала аргумент, который может быть преобразован в строку, без должной проверки его типа.
Важно отметить, что даже если приложение напрямую не использует серверные функции React, оно все равно может быть уязвимо, если в нем включена поддержка React Server Components.
Кто подвержен риску и что делать
Уязвимостям подвержены проекты, использующие React Server Components, включая те, что построены на базе популярных фреймворков и сборщиков, таких как Next.js, react-router, Waku, @parcel/rsc, @vite/rsc-plugin и rwsdk.
Разработчики React уже выпустили исправления. Настоятельно рекомендуется обновить уязвимые пакеты до следующих версий:
- 19.0.3
- 19.1.4
- 19.2.3
Пользователи, которые ранее обновлялись для устранения критической уязвимости удаленного выполнения кода, должны обновиться повторно, так как предыдущие исправления (версии 19.0.2, 19.1.3 и 19.2.2) оказались неполными.
Хронология событий
События развивались стремительно, что подчеркивает серьезность ситуации.
- 29 ноября 2025 г.: Исследователь безопасности Лаклан Дэвидсон сообщает о первоначальной критической уязвимости (CVE-2025-55182), позволяющей удаленное выполнение кода.
- 3 декабря 2025 г.: Команда React публикует исправление и информацию об уязвимости.
- 6-11 декабря 2025 г.: В ходе анализа патчей обнаруживаются и подтверждаются новые уязвимости (DoS и утечка кода). Команда React оперативно создает и выпускает новые исправления.
Обнаружение этих уязвимостей в очередной раз подчеркивает важность своевременного обновления программного обеспечения и зависимостей. Разработчикам, использующим React Server Components, необходимо незамедлительно проверить свои проекты и установить последние патчи, чтобы избежать потенциальных атак и обеспечить безопасность своих приложений и данных пользователей.