Meta · React Server Components

CVE-2025-55182

Meta React Server Components Remote Code Execution Vulnerability

Bei Angriffen ausgenutzt Von Ransomware genutzt Kritisch 10,0 Angriffswahrscheinlichkeit: 99,8%

Was es ist

A pre-authentication remote code execution vulnerability exists in React Server Components versions 19.0.0, 19.1.0, 19.1.1, and 19.2.0 including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. The vulnerable code unsafely deserializes payloads from HTTP requests to Server Function endpoints.

CISA: Meta React Server Components contains a remote code execution vulnerability that could allow unauthenticated remote code execution by exploiting a flaw in how React decodes payloads sent to React Server Function endpoints. Please note CVE-2025-66478 has been rejected, but it is associated with CVE-2025- 55182.

Was zu tun ist

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Frist für US-Bundesbehörden: 12. Dezember 2025

Zur CISA-Liste hinzugefügt: 5. Dezember 2025
Veröffentlicht: 3. Dezember 2025
Schweregrad: Kritisch 10,0 CVSS 3.1
Wahrscheinlichkeit von Angriffen in den nächsten 30 Tagen (EPSS): 99,8% unter den obersten 0,1% aller bekannten Schwachstellen
Mehr Details: NVD · CVE.org · CISA

Alle Quellen (2)

Quellen: Known Exploited Vulnerabilities (CISA, gemeinfrei), CVE records (cve.org) und EPSS (FIRST). Die Angriffswahrscheinlichkeit ist die EPSS-Schätzung, dass jemand in den nächsten 30 Tagen versucht, die Schwachstelle auszunutzen.