安全公告编号:CNTA-2025-0015
2025年12月4日，国家信息安全漏洞共享平台（CNVD）收录了React Server Components远程代码执行漏洞（CNVD-2025-29924，对应CVE-2025-55182、CVE-2025-66478）。攻击者利用该漏洞可在未授权条件下实现远程代码执行，获得目标服务器控制权限。目前，漏洞利用代码已公开，React公司已发布新版本修复。CNVD建议受影响的用户立即升级至最新版本。
一、漏洞情况分析
React是用于构建用户界面的JavaScript库，由美国Meta公司开发维护。该库自2013年起开源，已成为全球流行的前端开发工具之一。
React Server Components（RSC）是React 18开始引入的一种渲染处理方式。RSC允许React组件在服务器端执行，并通过Flight协议将序列化的渲染结果，流式传输给客户端。RSC被Next.js、Shopify Hydrogen、Gatsby 5等主流框架广泛采用。RSC与其他渲染处理方式（客户端渲染、服务器端渲染）相比，大幅降低了客户端运行负载，加快了页面加载速度。
2025年12月4日，国家信息安全漏洞共享平台收录了React Server Components远程代码执行漏洞。由于RSC服务器的react-server相关程序，在处理客户端的Flight协议数据时，缺少必要的安全校验，未经授权的攻击者可在远程条件下，通过构造恶意RSC请求发送至目标服务器，实现对服务器的远程代码执行，获取目标服务器权限。
CNVD对该漏洞的综合评级为“高危”。
二、漏洞影响范围
漏洞影响的产品版本包括：
1、React：
React 19.0.0
React 19.1.0
React 19.1.1
React 19.2.0
2、使用RSC和App Router的Next.js：
Next.js v15.0.0-15.0.4
Next.js v15.1.0-15.1.8
Next.js v15.2.x-15.5.6
Next.js v16.0.0-16.0.6
Next.js v14.3.0-canary.77及以上Canary版本
3、Dify、NextChat等依赖React的产品。
三、漏洞处置建议
目前，React和Next.js已发布新版本修复该漏洞，CNVD建议受影响用户尽快进行自查，并立即通过官方链接（下载源）更新至最新版本：
https://react.dev/blog/2025/12/03/critical-security-vulnerability-inreact-server-components
https://nextjs.org/
感谢CNVD技术组支撑单位——北京知道创宇信息技术股份有限公司、奇安信网神信息技术（北京）股份有限公司、三六零数字安全科技集团有限公司、北京长亭科技有限公司为本报告提供的技术支持。
附参考链接：
https://www.facebook.com/security/advisories/cve-2025-55182
https://react.dev/blog/2025/12/03/critical-security-vulnerability-inreact-server-components
https://github.com/vercel/next.js
声明：本文来自CNVD漏洞平台，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
