Meta · React Server Components

CVE-2025-55182

Meta React Server Components Remote Code Execution Vulnerability

Эксплуатируется в атаках Используется вымогателями Критическая 10,0 Вероятность атаки: 99,8%

Что это

A pre-authentication remote code execution vulnerability exists in React Server Components versions 19.0.0, 19.1.0, 19.1.1, and 19.2.0 including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. The vulnerable code unsafely deserializes payloads from HTTP requests to Server Function endpoints.

CISA: Meta React Server Components contains a remote code execution vulnerability that could allow unauthenticated remote code execution by exploiting a flaw in how React decodes payloads sent to React Server Function endpoints. Please note CVE-2025-66478 has been rejected, but it is associated with CVE-2025- 55182.

Что делать

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Срок для федеральных ведомств США: 12 декабря 2025 г.

Добавлена в список CISA: 5 декабря 2025 г.
Опубликована: 3 декабря 2025 г.
Серьёзность: Критическая 10,0 CVSS 3.1
Вероятность атак в ближайшие 30 дней (EPSS): 99,8% в верхних 0,1% всех известных уязвимостей
Подробнее: NVD · CVE.org · CISA

Все ссылки (2)

Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.