Kritisk sårbarhet i React Server Components (RSC)
En kritisk sårbarhet har identifierats i React Server Components som påverkar React 19, bland annat Next.js.[1] Omedelbar åtgärd krävs, bland annat genom att uppdatera till senaste versionen av React och dess beroenden. [2]
Sårbarheten CVE-2025-55182 har fått en CVSS-klassning på 10.0, den högsta klassningen. [3] Framgångsrikt utnyttjande av sårbarheten innebär att en angripare kan skapa skadliga förfrågningar till slutpunkter (endpoints) som när de deserialiseras av React ger full tillgång till att fjärrköra kod (RCE).
Uppdatering 2025-12-04
CERT-SE har noterat indikationer på att sårbarheten utnyttjas aktivt.
Uppdatering 2025-12-05
Proof-of-concept-kod för att utnyttja sårbarheten finns tillgänglig.
Internetövergripande försök av att utnyttja sårbarheten har observerats. [5]
Uppdatering 2025-12-05
Vi har observerat att det finns IoC:er (Indicator of Compromise) att tillgå. [6, 7, 8]
Påverkade produkter
React Server Components i versionerna 19.0.0, 19.1.0, 19.1.1 och 19.2.0 samt följande paket: react-server-dom-parcel, react-server-dom-turbopack och react-server-dom-webpack. [3, 4]
Rekommendationer
CERT-SE rekommenderar att följa leverantörens rekommendationer samt att undersöka sina system efter tecken på intrång.
Källor
[1] https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components, https://nextjs.org/blog/CVE-2025-66478
[2] https://www.wiz.io/blog/critical-vulnerability-in-react-cve-2025-55182
[3] https://www.cve.org/CVERecord?id=CVE-2025-55182
[4] https://github.com/vercel/next.js/security/advisories/GHSA-9qr9-h5gf-34mp
[5] https://viz.greynoise.io/tags/react-server-components-unsafe-deserialization-cve-2025-55182-rce-attempt
[6] https://www.upguard.com/blog/understanding-and-mitigating-cve-2025-55182-react2shell
[7] https://cybersecuritynews.com/china-nexus-hackers-exploiting-react2shell-flaw/
[8] https://aws.amazon.com/blogs/security/china-nexus-cyber-threat-groups-rapidly-exploit-react2shell-vulnerability-cve-2025-55182/