【紧急】React Server Components严重RCE漏洞完全指南
刚收到Vercel的紧急通知,想必很多Next.js开发者都收到了。这次不是简单的框架漏洞,而是React底层的严重安全问题,影响范围很广。
🔥 漏洞本质
CVE-2025-55182(代号React2Shell)是React Server Components (RSC) 的反序列化漏洞:
- CVSS评分:10.0(满分)
- 根本原因:React Flight协议在处理RSC payload时存在不安全的反序列化
- 攻击方式:攻击者发送特制payload,服务器解析时会执行任意JavaScript代码
- 无需认证:任何人都能利用
😰 谁受影响?
直接受影响:React 19.x
以下包的这些版本有问题:
- react-server
- react-server-dom-webpack
- react-server-dom-turbopack
- react-server-dom-parcel
受影响版本:19.0, 19.1.0, 19.1.1, 19.2.0
间接受影响:所有使用RSC的框架
因为底层用了React Server Components,这些框架都中招:
- Next.js15.x/16.x(使用App Router)
- React Router
- Waku
- Expo
- Redwood SDK
- 以及其他支持RSC的框架
⚠️ 关键点:即使你没显式使用Server Functions,只要启用了Server Components就有风险!
🛠️ 修复方案
React用户
升级到以下任一版本:
bash
npm install react@19.0.1 react-dom@19.0.1或
npm install react@19.1.2 react-dom@19.1.2
或
npm install react@19.2.1 react-dom@19.2.1