一键巡查React Server Components 远程代码执行漏洞
发布时间：
2025-12-10 00:00
1 漏洞概述
React Server Components（RSC）是React 19新引入的一种组件类型，广泛用于Next.js等框架中进行渲染服务。在CVE-2025-55182中，由于在解析客户端提交的表单时缺乏校验，攻击者可构造恶意请求调用相关内置模块，最终导致未授权代码执行。同时由于RSC已被 Next.js等主流框架中采用，例如 Next.js 15.x、16.x等版本中引用了受影响的React组件包，因此同样受影响，其对应CVE号为CVE-2025-66478。
攻击方式：恶意构造Flight协议序列化Payload，利用服务端反序列化校验缺失调用Node.js内置模块。
利用条件：无需身份验证，仅需单个HTTP请求即可完成攻击。
CVSS评分：10.0（最高危级别）。
关联事件：Cloudflare在2025年12月5日因紧急修复该漏洞触发旧系统缺陷，导致全球28% HTTP流量中断25分钟。
2 影响范围
3 参考地址
官方已发布修复版本，具体升级方式可参考官方安全公告：
React 官方安全公告：
https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
Next.js 安全公告：
https://nextjs.org/blog/CVE-2025-66478
NVD 漏洞详情：
https://nvd.nist.gov/vuln/detail/CVE-2025-55182
4 一键巡查
01.登录容器安全平台，点击【平台管理】-【软件升级】排查漏洞库是否更新，将漏洞库更新至最新版本（联系小佑客服获取最新版本漏洞库）
02.进入镜像安全模块点击扫描仓库/节点镜像（全部镜像）
03. 进入【漏洞管理】-【漏洞管理】模块，查看巡查结果（CVE-2025-55182）
04. 查看漏洞详情
05. 查看受影响镜像详情
5 修复方案
升级至React 19.0.1/19.1.2/19.2.1版本
Next.js需更新至16.0.7+版本
禁用未使用的Server Components功能
React 原生用户：
npm install react@19.2.1 react-dom@19.2.1
Next.js 用户：
# 根据当前版本选择对应的修复版本
npm install next@15.0.5 # v15.0.x 用户
npm install next@15.1.9 # v15.1.x 用户
npm install next@15.2.6 # v15.2.x 用户
npm install next@15.3.6 # v15.3.x 用户
npm install next@15.4.8 # v15.4.x 用户
npm install next@15.5.7 # v15.5.x 用户
npm install next@16.0.7 # v16.0.x 用户
© 2023 北京小佑科技有限公司
