- React 服务器组件中存在严重漏洞 CVE-2025-55182，可通过不安全的反序列化实现未经身份验证的远程代码执行。
- 该问题会向下蔓延至 Next.js，漏洞编号为 CVE-2025-66478，这两个漏洞的严重性等级均为最高（CVSS 10）。
- 默认配置已暴露，研究人员报告称，在许多真实环境中，漏洞利用的可靠性接近 100%。
- 供应商已发布指南和补丁，使用 React 或 Next.js 的组织应立即更新并检查其部署。
的披露 React 服务器组件中的 CVE-2025-55182 及其对 Next.js 的相关影响 该漏洞迅速成为Web开发领域最受关注的安全事件之一。它暴露了攻击者在依赖这些广受欢迎的技术的服务器上实现远程代码执行的关键途径。
对于已经采用现代 React 和 Next.js 技术栈的团队来说，这不是一个抽象的学术错误。 安全研究人员警告称，这种攻击既现实又高度可靠。并且，如果不及时修补，默认配置会让许多生产部署意外地容易受到攻击。
“React2Shell”：撼动网络的严重漏洞——以及它为何如此重要
这种情况的核心在于脆弱性。 公开追踪编号为 CVE-2025-55182该漏洞影响 React 服务器组件 (RSC) 背后的协议。研究人员将该漏洞利用路径昵称为“React2Shell”，以强调攻击者一旦成功，便可从精心构造的 RSC 请求逐步获得底层服务器的完全 shell 级访问权限。
从宏观层面来看，缺陷的出现是由于…… 对提供给 React 服务器函数端点的有效负载进行不安全的反序列化当服务器组件处理这些特制的有效载荷时，攻击者可以从看似无害的数据处理转向任意代码执行，而无需进行身份验证。
虽然问题的根源在于 React 开源实现，但其影响远不止于此。 Next.js 构建于 React 之上，广泛用于生产级应用程序。它在处理服务器端逻辑时也继承了这个问题。这种下游风险已被单独列为 CVE-2025-66478，实际上扩大了现代 Web 技术栈的影响范围。
CVE-2025-55182 及其 Next.js 对应版本均已被发现。 被评为最高严重程度评分10分 根据通用漏洞评分系统，该评分反映了远程利用的可能性、缺乏身份验证要求以及系统完全被攻破的可能性。
什么是 React2Shell？它是如何工作的？
React 服务器组件底层依赖于一种协议，客户端和服务器通过该协议交换序列化的有效负载来处理服务器端渲染和逻辑。React2Shell 的核心在于…… 这些有效载荷可以被操纵，从而触发不安全的反序列化。从而有效地允许攻击者控制的输入被解释为服务器上的可执行指令。
在典型的攻击场景中，攻击者会精心构造恶意载荷，以攻击目标。 React Server Function 端点由应用程序公开由于该漏洞无需身份验证即可触发，攻击者只需通过网络访问端点即可尝试利用该漏洞。
一旦恶意载荷被处理，服务器可能会以不安全的方式对其进行反序列化，从而有效地模糊了数据和代码之间的界限。 这为远程代码执行打开了方便之门。这使得攻击者能够以服务器进程的权限运行任意命令。
根据 Wiz 研究人员公开分享的研究结果，这种利用路径并非仅仅是理论上的。 在内部实验中，他们报告称实现了“高保真”漏洞利用，成功率接近100%。 在他们测试的环境中。这种可靠性显著降低了攻击者的门槛，并增加了防御者的紧迫性，como ilustran recientes casos de npm 苏米尼斯特罗卡德纳的阿塔克斯.
令从业人员尤其担忧的是： 默认配置中存在这种易受攻击的行为。换句话说，开发者不一定需要选择不安全的设置；许多应用程序之所以存在安全风险，仅仅是因为它们使用了标准的、推荐的技术栈。
范围和影响：为什么这么多项目面临风险
所涉及的技术使得这个问题变得尤为普遍。 React 诞生于 Facebook，现在作为一个开源库维护，它支撑着绝大多数现代 Web 界面。 由于其基于组件的模型和生态系统，由 Vercel 维护的 Next.js 已成为构建具有服务器端渲染和 API 路由的生产级 React 应用的首选框架。
由于其受欢迎程度，受影响的部署数量不容小觑。 Wiz 的研究人员估计，他们检查的云环境中约有 40% 包含存在漏洞的 React 或 Next.js 实例。这份快照表明，该漏洞并非个例，而是众多组织和行业普遍关注的问题。
成功利用漏洞可能造成的实际后果可能非常严重。 一旦攻击者通过 CVE-2025-55182 或相关的 Next.js 漏洞获得远程代码执行权限，即可实施远程代码执行。他们有可能访问敏感数据，在环境中横向移动，植入后门，或者利用被入侵的服务器作为进一步攻击的跳板。
watchTowr 的创始人兼首席执行官 Benjamin Harris 强调，虽然公开的技术细节仍然相对有限， 发布补丁足以引导那些意志坚定的攻击者。一旦他们开始审查代码更改和建议说明，就更容易重现漏洞利用路径并将其用于实际攻击。
这种动态——在广泛修复之前就公开修补措施——往往会造成一场竞赛。 如今，各组织实际上正在与威胁行为者展开竞争。 在攻击尝试升级之前部署修复程序和缓解措施。
为什么 React2Shell 特别危险
多种因素共同作用，使得这一漏洞在众多安全公告中脱颖而出。首先， 由于缺乏身份验证要求，匿名攻击者可以直接攻击暴露的端点。任何可公开访问的服务器组件端点都会立即成为攻击面的一部分。
其次，该漏洞在实际环境中的表现方式导致 极高的漏洞利用可靠性正如 Wiz 所报道的那样，在典型的配置下，该漏洞利用路径在他们的概念验证场景中几乎每次都能奏效，从而减少了对复杂或脆弱的攻击链的需求。
第三，这个问题触及了 React 服务器组件和 Next.js 处理服务器端逻辑的核心。 因为缺陷与RSC协议本身有关，而不仅仅是某个狭窄的边缘特征。许多应用程序仅仅因为遵循官方文档推广的标准模式，就继承了这种风险。
最后，更广泛的生态系统背景也很重要。 React 和 Next.js 已深度嵌入到云原生和微服务架构中。 它为从小型初创公司到大型企业的一切提供动力。一个被攻破的服务器组件就可能成为入侵更大、更复杂环境的入口。
综合这些特性，可以解释为什么这两个漏洞都被评为最高严重级别，以及为什么安全社区强烈鼓励修复这些漏洞。 快速修补和主动风险评估 而不是采取观望态度。
目前正在采取的措施（以及你现在应该采取的措施）
一旦通过 Meta Bug Bounty 计划报告了该问题—— 研究员拉赫兰·戴维森于11月29日通知了React团队。 维护人员已着手调查、修复并协调信息披露工作。React 项目和 Next.js 背后的公司 Vercel 目前都已发布指南，帮助用户更新软件。
从供应商的角度来看， 已修复的版本和说明文档概述了受影响的版本以及如何升级。使用 React Server Components 或 Next.js 的组织应仔细审查这些文档，确定哪些部署在范围内，并将更新列为首要任务。
鉴于默认配置存在漏洞，简单地假设“自定义设置”或最低限度的使用就能提供保护是危险的。 安全团队应清点所有依赖 React Server Components 或 Next.js 的应用程序。特别关注暴露于互联网的公共可访问端点。
虽然打补丁是首要步骤，但考虑短期缓解措施也是明智之举。 限制服务器组件端点不必要的公开暴露在更新推出期间，尽可能加强网络访问控制，并强化对可疑请求模式的监控，这些措施都能降低风险。 GitHub Actions 中的秘密管理.
组织可能还希望与他们的开发团队密切合作， 审查日志记录、事件响应计划以及任何异常活动迹象 围绕 React 或 Next.js 服务，包括 el 使用 Burp Collaborator 班达交互探测器。
这对网络生态系统意味着什么？以及需要关注哪些方面？
CVE-2025-55182 及其 Next.js 对应漏洞的出现引发了更广泛的问题。 快速发展的 Web 框架如何管理复杂服务器端功能的安全性React 服务器组件虽然功能强大，但引入了新的通信模式和序列化逻辑，需要进行严格的审查。
对于更广泛的生态系统而言，这一事件提醒我们，即使是成熟且被广泛采用的技术也可能藏匿着隐患。 源于细微实现细节的高影响漏洞性能优化、开发者便利性和灵活的 API 相结合，有时会掩盖一些深层次的安全隐患，直到研究人员对其进行压力测试。
展望未来，React 和 Next.js 社区都可能会看到 更加注重服务器功能的安全处理、有效载荷序列化和默认配置。注重安全的组织可能还会要求提供更清晰的指导、更明确的加固选项以及关于使用服务器组件进行构建时安全实践的扩展文档。
与此同时，防御者应密切关注官方项目渠道、安全厂商和研究人员发布的最新消息，他们正在继续分析该漏洞。 新的概念验证、检测规则和最佳实践建议 随着更多专家深入研究 React2Shell 及其变体的细节，这些问题可能会出现。
归根结底，这一事件强调了这一点。 确保现代 Web 技术栈的安全是一个持续的过程。这并非一次性的设置任务。随着框架的演进，其潜在的攻击面也会随之扩大，而那些能够快速适应的组织，在关键缺陷暴露时往往能更好地应对。
对于任何在生产环境中依赖 React 或 Next.js 的团队来说，CVE-2025-55182 都是一个明确的信号： 对服务器端功能的安全保护力度应与其他任何关键基础设施的安全保护力度相同。密切关注上游的建议，并做好在出现此类影响级别的问题时迅速采取行动的准备。
本文内容主要参考网络安全媒体和厂商公告最初发布的信息，重点阐述了如何应对网络安全威胁。 React2Shell 已迅速从私人报告升级为紧急优先事项。 适用于网络上的各个组织。
