RED Security рекомендует принять меры защиты ввиду распространения атаки с эксплуатацией критической уязвимости в компонентах React Server CVE-2025-55182 (BDU:2025-15156) с оценкой 10 по шкале CVSS.

Уязвимость позволяет выполнять удаленный код, отправив специальный HTTP-запрос без прохождения аутентификации. Недостаток безопасности связан с особенностями обработки данных, поступающих на сервера React.

Уязвимость присутствует в версиях 19.0, 19.1.0, 19.1.1 и 19.2.0 следующих пакетов:
➡️ react-server-dom-webpack
➡️ react-server-dom-parcel
➡️ react-server-dom-turbopack

Фреймворки и сборщики React, которые содержат зависимости этих пакетов: next, react-router, waku, @parcel/rsc, @vitejs/plugin-rsc и rwsdk.

Уязвимость была исправлена в обновлениях безопасности, которые уже опубликованы в пакетном менеджере npm.

Рекомендации:

✔️ Проверить все проекты, выявить те, которые используют фреймворк React.
✔️ Проверить наличие в проектах следующих компонентов:
➡️ Библиотеки, с версиями 19.0, 19.1.0, 19.1.1 и 19.2.0
- react-server-dom-webpack
- react-server-dom-parcel
- react-server-dom-turbopack
➡️ Фреймворк Next.js с версиями 15.0.x, 15.1.x, 15.2.x, 15.3.x, 15.4.x,15.5.x,16.0.x, 14.3.0-canary.77 или более поздний canary-релиз.
➡️ Фреймворк React Router
➡️ Redwood SDK версии rwsdk>=1.0.0-alpha.0
➡️ Фреймворки Expo, Waku, @vitejs/plugin-rsc
✔️ В случае обнаружения уязвимых библиотек, фреймворков или SDK, необходимо обновить пакеты.

Подробное описание уязвимости с инструкциями по обновлению можно найти здесь.