紧急预警！CVE-2025-55182：React Server Components 远程代码执行漏洞来袭

一、漏洞背景：React 生态突发高危风险

近日，React 生态曝出高危远程代码执行漏洞（CVE-2025-55182），影响范围覆盖使用 React Server Components（RSC） 功能的应用。该漏洞源于 RSC 对服务端渲染数据的处理逻辑缺陷，攻击者可通过构造恶意请求，绕过安全校验并注入恶意代码，最终实现远程控制服务器的严重后果。

React Server Components 作为 React 18+ 推出的核心特性，旨在通过服务端组件减少客户端 JS 体积、提升首屏加载速度，目前已被大量中大型前端项目采用。此次漏洞的曝光，给相关企业和开发者敲响了安全警钟。

二、漏洞核心分析：风险到底有多严重？

1. 漏洞原理

React Server Components 在处理服务端与客户端的数据传输时，存在 序列化 / 反序列化逻辑漏洞。攻击者可利用该漏洞，向服务端发送包含恶意代码的特制请求参数，当服务端解析该参数时，恶意代码会被非法执行，进而获取服务器权限。

简单来说：正常情况下，RSC 仅允许传输预设格式的组件数据；而漏洞导致攻击者可注入任意代码，让服务器 “误执行” 恶意指令。

2. 影响范围

受影响的React版本：

React 19.0.0

React 19.1.0  

React 19.1.1

React 19.2.0

受影响的包：

react-server-dom-parcel

react-server-dom-turbopack  

react-server-dom-webpack

受影响的Next.js版本：

使用React Server Components和App Router的应用程序在以下版本中受到影响：

Next.js 15.x系列（所有版本）

Next.js 16.x系列（所有版本）

Next.js 14.3.0-canary.77及后续canary版本

不受影响的Next.js版本：

Next.js 13.x（所有版本）

Next.js 14.x稳定版

使用Pages Router的应用程序

Edge Runtime应用程序

注：只有同时使用React Server Components和App Router的Next.js应用程序才会受到影响。

三、紧急排查：你的项目是否存在风险？

1. 快速自查步骤

① 检查项目是否启用 React Server Components：

    •Next.js 项目：查看是否使用 App Router（项目根目录下有 app 文件夹）

    •原生 React 项目：查看 package.json 中是否有 "react-server" 依赖，或代码中是否有 "use server" 指令

② 检查 React 版本：运行 npm list react，确认版本是否为 18.x 及以上（且未安装修复补丁）

2. 漏洞验证（仅用于合法自查）

若需验证项目是否存在漏洞，可在测试环境执行以下操作：

    •向 RSC 相关接口发送包含特定 payload 的请求（具体 payload 可参考官方安全公告）

    •观察服务端是否返回异常响应，或是否执行了预设的测试指令（如创建临时文件）

⚠️ 注意：禁止对非自有项目进行漏洞扫描，否则可能违反《网络安全法》！

四、修复方案：立即行动，阻断风险

1. 官方修复方案（优先推荐）

① 升级 React 核心依赖：

# npm 项目

npm install react@latest react-dom@latest

# yarn 项目

yarn add react@latest react-dom@latest

② 升级相关框架（如 Next.js）：

# Next.js 项目

npm install next@latest

③ 重启服务并验证：升级后需重新构建项目，确认 RSC 功能正常，且漏洞已修复（可通过官方提供的验证工具检测）

2. 临时规避方案（无法立即升级时）

若因业务依赖无法快速升级，可临时采取以下措施阻断攻击路径：

① 禁用 React Server Components：改用 Pages Router（Next.js 项目）或客户端渲染模式

② 加强接口校验：在服务端对 RSC 相关请求的参数进行严格过滤，禁止包含特殊字符、代码片段的请求

③ 限制服务器权限：运行应用的服务器账号仅分配最小必要权限，避免被攻击者获取高权限后扩大危害

五、安全建议：建立长期防护机制

1.关注官方安全公告：React 团队及相关框架（Next.js、Remix）会持续更新漏洞动态，建议星标官方仓库或订阅安全通知

2.定期升级依赖：前端项目需建立依赖更新机制，及时修复高危漏洞（可使用 npm audit 或 Snyk 等工具监控依赖安全）

3.加强代码审计：重点检查 RSC 相关的服务端逻辑，避免自定义序列化 / 反序列化逻辑引入新漏洞

4.部署 WAF 防护：在服务器前端部署 Web 应用防火墙，拦截包含恶意 payload 的攻击请求

六、总结

CVE-2025-55182 作为 React Server Components 功能的高危漏洞，直接威胁服务器安全，且影响范围广泛。建议所有使用 RSC 的项目团队 立即开展自查，优先通过升级依赖完成修复，无法升级的项目需启用临时防护措施。