⚠️ یک رخنه‌ی امنیتی بسیار مهم در React و Next.js شناسایی شده که به مهاجم اجازه می‌دهد بدون داشتن دسترسی و تنها با یک درخواست ساده‌ی HTTP، کد دلخواه را روی سرور اجرا کند. شدت این آسیب‌پذیری ۱۰ از ۱۰ اعلام شده است.

💡 این مشکل در بخش React Server Components رخ می‌دهد و ریشه‌ی آن در نحوه‌ی رمزگشایی ورودی‌ها است. حتی یک ورودی مخرب نیز می‌تواند به کنترل کامل سرور بیانجامد.

این رخنه با شناسه‌ی CVE-2025-55182 در نسخه‌های ۱۹٫۰، ۱۹٫۱٫۰، ۱۹٫۱٫۱ و ۱۹٫۲٫۰ وجود دارد و نسخه‌های امن عبارت‌اند از ۱۹٫۰٫۱، ۱۹٫۱٫۲ و ۱۹٫۲٫۱.

⚠️ این آسیب‌پذیری فقط به React محدود نیست و فریم‌ورک‌هایی مانند Next.js و react-router را نیز تحت تأثیر قرار می‌دهد. طبق بررسی‌ها، حدود ۳۹ درصد از محیط‌های ابری از نسخه‌های آسیب‌پذیر استفاده می‌کنند.

❌ پژوهشگران این رخنه را یک سناریوی فاجعه‌بار توصیف می‌کنند، چرا که حمله بدون نیاز به احراز هویت، از راه دور، با احتمال موفقیت بالا و با قابلیت اجرای کامل کد روی سرور قابل انجام است.

✔️ تنها راه‌حل قطعی، به‌روزرسانی فوری React و وابستگی‌های مرتبط به نسخه‌ی امن است. به‌روزرسانی را جدی بگیرید، زیرا تأخیر ممکن است به نفوذ کامل به سرور منجر شود.