NVD / CVE Program· CNA Meta

CVE-2025-55183: An information leak vulnerability exists in specific configurations of React Server Components versions 19.0.0, 19.0.1 19.1.0, 19.1.1…

СредняяCVSS 5.3 · v3.1—Есть PoC Есть исправление

Оценка Noroxi

Приоритет: В плане (оценка срочности 40/100)

Есть публичный код proof-of-concept (GitHub); записей об эксплуатации в реальных атаках нет.
Вероятность эксплуатации в ближайшие 30 дней: 61,9% (FIRST EPSS); выше, чем у 99,1% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
Исправленная версия: react-server-dom-parcel (npm) 19.0.2, 19.1.3, 19.2.2; react-server-dom-turbopack (npm) 19.0.2, 19.1.3, 19.2.2; react-server-dom-webpack (npm) 19.0.2, 19.1.3, 19.2.2.

Включите в обычный цикл установки исправлений. Обновитесь до react-server-dom-parcel (npm) 19.0.2, 19.1.3, 19.2.2; react-server-dom-turbopack (npm) 19.0.2, 19.1.3, 19.2.2; react-server-dom-webpack (npm) 19.0.2, 19.1.3, 19.2.2 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

An information leak vulnerability exists in specific configurations of React Server Components versions 19.0.0, 19.0.1 19.1.0, 19.1.1, 19.1.2, 19.2.0 and 19.2.1, including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. A specifically crafted HTTP request sent to a vulnerable Server Function may unsafely return the source code of any Server Function. Exploitation requires the existence of a Server Function which explicitly or implicitly exposes a stringified argument.

GHSA-925w-6v3x-g4j4

Опубликовано: 11 дек. 2025 г.
Обновлено: 7 окт. 2026 г.
EPSS: 61,9 % · 99-й процентиль
CWE: CWE-502

Инструменты для отчёта

JSON

Оценка срочности

В плане

Включите в обычный цикл установки исправлений.

CVSS: 21 / 40 · 5.3 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 19 / 30 · 61,9 %

Решение CISA SSVC

Эксплуатация: proof of concept
Автоматизируемо: да
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · Meta: 5,3; NVD ещё не выставил свою оценку; показана оценка CNA.

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Есть PoC, боевого модуля нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
vercel	next.js	cpe:2.3:a:vercel:next.js
facebook	react	cpe:2.3:a:facebook:react

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Meta). Не зависят от анализа CPE в NVD и обычно опережают его.

Meta react-server-dom-parcel
- 19.0.0 и новее · до 19.0.1 включительнозатронута · semver
- 19.1.0 и новее · до 19.1.2 включительнозатронута · semver
- 19.2.0 и новее · до 19.2.1 включительнозатронута · semver
Meta react-server-dom-turbopack
- 19.0.0 и новее · до 19.0.1 включительнозатронута · semver
- 19.1.0 и новее · до 19.1.2 включительнозатронута · semver
- 19.2.0 и новее · до 19.2.1 включительнозатронута · semver
Meta react-server-dom-webpack
- 19.0.0 и новее · до 19.0.1 включительнозатронута · semver
- 19.1.0 и новее · до 19.1.2 включительнозатронута · semver
- 19.2.0 и новее · до 19.2.1 включительнозатронута · semver

Затронутые версии · NVD (12)

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

facebook react19.2.0 и новее · до 19.2.2
facebook react19.1.0 и новее · до 19.1.3
facebook react19.0.0 и новее · до 19.0.2
vercel next.js15.3.0 и новее · до 15.3.8
vercel next.js15.4.0 и новее · до 15.4.10
vercel next.js15.5.0 и новее · до 15.5.9
vercel next.js15.0.0 и новее · до 15.0.7
vercel next.js16.0.0 и новее · до 16.0.10
vercel next.js15.1.0 и новее · до 15.1.11
vercel next.js15.2.0 и новее · до 15.2.8
vercel next.js15.6.0
vercel next.js16.1.0

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
npm	react-server-dom-parcel	с 19.0.0 · до 19.0.2	19.0.2
npm	react-server-dom-parcel	с 19.1.0 · до 19.1.3	19.1.3
npm	react-server-dom-parcel	с 19.2.0 · до 19.2.2	19.2.2
npm	react-server-dom-turbopack	с 19.0.0 · до 19.0.2	19.0.2
npm	react-server-dom-turbopack	с 19.1.0 · до 19.1.3	19.1.3
npm	react-server-dom-turbopack	с 19.2.0 · до 19.2.2	19.2.2
npm	react-server-dom-webpack	с 19.0.0 · до 19.0.2	19.0.2
npm	react-server-dom-webpack	с 19.1.0 · до 19.1.3	19.1.3
npm	react-server-dom-webpack	с 19.2.0 · до 19.2.2	19.2.2

Тот же продукт

vercel: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2025-29927Authorization Bypass in Next.js Middleware
66На этой неделе
CVE-2026-75604Next.js: Unauthenticated Remote Code Execution on windows-hosted servers
60На этой неделе
CVE-2024-46982Cache Poisoning in next.js
48В плане

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2025-5775229 авг. 2025 г. · Next.js Affected by Cache Key Confusion for Image Optimization API Routes
24Наблюдать
← РаньшеCVE-2025-5782229 авг. 2025 г. · Next.js Improper Middleware Redirect Handling Leads to SSRF
33Наблюдать
Позже →CVE-2025-5947126 янв. 2026 г. · A denial of service vulnerability exists in self-hosted Next.js applications that have `remotePatterns` configured for the Image Optimizer.
30Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
npm:react-server-dom-parcel	19.0.2	Реестр пакетов (OSV)
npm:react-server-dom-parcel	19.1.3	Реестр пакетов (OSV)
npm:react-server-dom-parcel	19.2.2	Реестр пакетов (OSV)
npm:react-server-dom-turbopack	19.0.2	Реестр пакетов (OSV)
npm:react-server-dom-turbopack	19.1.3	Реестр пакетов (OSV)
npm:react-server-dom-turbopack	19.2.2	Реестр пакетов (OSV)
npm:react-server-dom-webpack	19.0.2	Реестр пакетов (OSV)
npm:react-server-dom-webpack	19.1.3	Реестр пакетов (OSV)
npm:react-server-dom-webpack	19.2.2	Реестр пакетов (OSV)

Статус эксплойта

Есть proof of concept

Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.

Доказательство

Репозиторий PoC на GitHub ×6

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Репозиторий PoC на GitHub	репозиториев: 6	2025-12-11 → 2025-12-12

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Первый PoC11 дек. 2025 г.-1 дн.
Публикация11 дек. 2025 г.
Сегодня14 нояб. 2026 г.+337 дн.

EPSS за 120 дней-2 % за 7 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Охват bug bounty

Вендор продукта присутствует в публичной программе. Сопоставление по имени; проверьте текст scope в программе.

В записи нет: ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки.

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: низкое · данные могут быть прочитаны
Целостность: нет
Доступность: нет

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Низкое
Влияние на целостность: Нет
Влияние на доступность: Нет

Класс уязвимости (CWE)

CWE-502 · Deserialization of Untrusted Data

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

nvd-secondary

Первопричина

Данные, полученные по сети, десериализуются в собственный объектный формат языка без проверки источника. Во время десериализации могут быть задействованы пути выполнения кода внутри объекта.

Ошибка в коде

Весь класс CWE-502

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

python

1payload = sock.recv(65536)
2job = pickle.loads(payload)

Исправленный код

python

1payload = sock.recv(65536)
2if not hmac.compare_digest(sign(payload), header_sig):
3    raise PermissionError("недействительная подпись")
4job = JobSchema.validate(json.loads(payload))