TL; AMA
React2Shell (CVE-2025-55182) e fausia ai se mea taua Lamatiaga RCE atu Vaega o le React Server (RSC) ma faʻavae e faʻapipiʻiina ai, e aofia ai Sosoo ai.js. Auā o le vaivaiga o loo i totonu o le RSC fa'asologa ma le vaega o le deserialization, e mafai e tagata osofa'i ona auina atu se talosaga HTTP ua mamanuina ma fa'agaoioia fa'atinoina o le code mamao e le'i fa'amaoniaina, tusa lava pe fa'atino e 'au ni fa'atulagaga fa'avae masani. Sosoo ai.js e sili ona maualuga le lamatiaga o talosaga ona latou te taliaina ma faagasolo Vaalele Tali uta i luga o le HTTP i le tulaga masani.
O le fa'aletonu e a'afia ai le tele o fa'aliliuga o Afifi o le 'au'aunaga tali, ma e le manaʻomia e tagata osofaʻi le faʻatulagaga faʻapitoa o le talosaga e faʻaaogaina ai. Ua faʻaalia e le au suʻesuʻe saogalemu le toetoe lava 100% le faʻatuatuaina, ma o suʻesuʻega muamua ua faʻaalia ai o le tele o siosiomaga ao e vaivai. Sosoo ai.js taimi. E tatau i 'au ona fa'aleleia loa ma faʻamaonia lo latou siosiomaga atoa e faʻaitiitia ai le Lamatiaga RCE a le React2Shell (CVE-2025-55182).
O se vaivaiga matuia na lipotia mai e ala i le polokalame a le Meta e uiga i bug bounty ia Novema 29 ua mafua ai ni tali faanatinati i le faiga atoa o le JavaScript.
Ua filifilia CVE-2025-55182, na faʻaalia i le aso 3 o Tesema ua taʻua nei o React2Shell o se vaivaiga sili ona ogaoga e aʻafia ai React Vaega Server faatasi ai ma faʻavae e aofia ai. I le taimi muamua, sa tofia se faʻailoga vaivaiga eseʻese o le Next.js (CVE-2025-66478), ae na mulimuli ane tuʻufaʻatasia e le NVD i totonu o le React CVE autu o se faʻamaumauga faalua.
O le faʻafitauli autū o le taulimaina lea o uta RSC faʻasolosolo e le saogalemu e mafai ona faʻagaoioia e ala i se talosaga HTTP. O lenei mea e tatala ai le faitotoʻa mo se tagata fai mea leaga e auina atu ai se talosaga HTTP faʻasesēina lea e mafua ai ona faʻagaoioia le JavaScript i luga o le 'auʻaunaga pe a uma ona faʻagaoioia. ua aveeseina le faasologa e React.
CVE-2025-55182 Aotelega
O vaega o le React Server ua matuā tuʻufaʻatasia i totonu o faʻavae faʻaonaponei, ma i le tele o tulaga e faʻagaoioia e ala i le faʻaletonu. Ona o lenei mea, e ono faʻaalia ai talosaga i React2Shell (CVE-2025-55182) e tusa lava pe latou te le faʻamatalaina manino lava se faʻaiʻuga o le Server Function. O loʻo iai pea le faʻatinoina o le RSC, ma o le mea lava lea e lava e faʻagaoioia ai auala code vaivai ma fatuina ai se mea taua Lamatiaga RCE.
O le fa'aletonu e mafua mai i le auala na Polokalama o le React FlightE fa'agasolo e le l ni uta fa'atulagaina patino. Sa taumafai lomiga tuai e savali i ala o mea faitino na tu'uina atu i le uta e aunoa ma le fa'amaoniaina o le fausaga sa aoga pe fa'amoemoeina. E mafai e se tagata osofa'i ona fa'a'ole'ole lenei faiga ma iu ai ina o'o atu i le fa'atinoina o le code i luga o le 'au'aunaga. Leai se fa'amaoniga, leai se fa'atulagaga fa'apitoa, ma e leai se fa'avae fa'apitoa e mana'omia mo le app. Talu ai o lo'o iai le fa'afitauli i fa'atulagaga e le'i fa'aaogaina muamua, standard o faʻatinoga e faʻaalia e aunoa ma le manaʻomia o ni tulaga e le masani ai.
E tupu le fa'aaogāina sese pe a auina atu e tagata osofa'i ni talosaga leaga HTTP POST e fa'aleagaina ai le "vm.runInThisContext"faiga e ala i le Server Actions. E ui e le faʻaalia saʻo e React le pito i tua vaivai, ae faia e Next.js, ma fausia ai se vector moni o osofaʻiga mamao.
E talia e le Next.js uta o le Flight mai soʻo se talosaga, faʻagasolo e aunoa ma se faʻamaoniga talafeagai, ma tuʻuina atu i le deserializer a le React. E taulimaina e le polokalama nei mea mai fafo e pei o ni mea e faʻatuatuaina, e mafai ai e tagata osofaʻi ona ausia faʻatulafonoina o le faasalaga e ala i nofoaga e mafai ona maua e le lautele faatasi ai ma avanoa atoatoa o le faagasologa o le Node.js i luga o le 'au'aunaga fa'amoemoeina.
E faʻateleina tele le ogaoga ona o loʻo tumau pea le vaivai o faʻatulagaga masani React2Shell (CVE-2025-55182) ma le iuga Lamatiaga RCE. A standard Polokalama Next.js e te fatuina ai create-next-app e faʻaalia o ia lava e aunoa ma le manaʻomia o soʻo se tulafono faʻapitoa poʻo ni suiga o le faʻatulagaga. Ua faʻamaonia e le au suʻesuʻe puipuiga le toetoe lava 100% o le faʻatuatuaina o le faʻaaogaina ma lipotia mai o le 39% o siosiomaga ao e faʻatautaia ni faʻataʻitaʻiga vaivai, ae 44% o siosiomaga uma e faʻatautaia ni talosaga Next.js ua faʻaalia lautele ua aʻafia e React2Shell.
Malamalama i le Fa'aalia i le React2Shell
O lomiga vaivai e aofia ai le tele o faʻasalalauga:
| Vaega | A'afia Versions |
|---|---|
| tali-server-dom-webpack | 19.0, 19.1.0, 19.1.1, 19.2.0 |
| afifi-dom-server-react | 19.0, 19.1.0, 19.1.1, 19.2.0 |
| tali-server-dom-turbopack | 19.0, 19.1.0, 19.1.1, 19.2.0 |
Ona o le tele o faʻavae e faʻapipiʻi le lagolago a le RSC i le totonugalemu, e masani ona mautofi e talosaga le code vaivai e aunoa ma le iloaina. Soʻo se faʻavae poʻo se bundler e lafoina nei afifi e mafai ona faʻaalia le talosaga i le React2Shell (CVE-2025-55182) ma lona lamatiaga RCE. E aofia ai:
- Next.js (Polokalama fa'a'auala)
- Va'aiga muamua o le React Router RSC
- Fa'aopoopoga Vite RSC
- Polokalama fa'aopoopo RSC a le Parcel
- Redwood SDK
- Waku
- Faʻaaliga
E matuā a'afia lava le Next.js ona e fa'aogaina ai fa'ai'uga e feso'ota'i ma le RSC i luga o le HTTP i le tulaga masani. O lomiga e amata i le 14.3.0 fausiaina o le manulele o le canary, faatasi ai ma le tele 15.x ma vave 16.x fa'asalalauga, e aofia ai le fa'atinoga vaivai. So'o se tasi e fa'agaoioia le canary 14.3.0-canary.77 pe mulimuli ane e tatau toe foʻi i le mautu 14.x lālā se'ia o'o ina lolomiina se lomiga fa'apipi'i o le canary.
Fa'aliliuga o le Next.js ua fa'apipi'iina aofia:
| Vaega | Lomiga Fa'apipi'i |
|---|---|
| Sosoo ai.js | 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7 |
PoC Lautele ma le Sailiga Fa'atuatuaina
I le maeʻa ai o le faʻalauiloaina o le vaivaiga, na amata ai ona salalau solo le tele o faʻamaoniga o manatu. O le tele o ia mea e le saʻo pe faʻavae i luga o ni manatu sese. O le tusitala muamua o vaivaiga, o Lachlan Davidson, na faʻamaonia faʻalauaʻitele i luga tali2shell o le GitHub PoCs o loʻo faʻasalalauina e le fetaui ma le exploit na faʻasoa faalilolilo ma React/Next.js maintenanceers ma tuʻuina atu lana lava PoC.
O se faʻafitauli tele i taumafaiga muamua a le lautele o lo latou le iloaina lea o le manuia o le faʻaaogaina faʻasaga i standard Fa'atinoina o le Next.js e aunoa ma le mana'omia o se fa'atulagaga fa'apitoa o le talosaga po'o ni galuega fa'atino i le itu o le 'au'aunaga e tatau ona i ai.
Ua fa’amamafa mai e le au su’esu’e puipuiga mai le tele o fa’alapotopotoga e fa’apea, o le iloa o le vaivaiga e mana’omia ai le sili atu nai lo le na o le fa’ailoaina pe o iai le RSC. Na lolomiina e le ‘au a le Assetnote se auala e iloa ai ma le mautinoa ma a scanner e mafai ona faʻamaonia le faʻafitauli e aunoa ma le faʻaaogaina o soʻo se faʻaaogaina o le mafaufau. O le a vave ona maua e Metasploit se fa'aaogāina avanoa mo lenei vaivaiga foi.
O le auala e iloa ai e faʻaaogaina ai le auala e taulima ai e le React Server faʻasinomaga o meatotino o mea faitino e faʻaaoga ai le faʻavasegaina o kolone i totonu o le ReactFlightClientConfigBundlerWebpack.js/requireModule() galuega. A fa'agasolo e fa'aliliuga vaivai se uta fa'apitoa fa'atulagaina e tele vaega e taumafai e sopo'ia auala fa'apipi'i mea e le o iai, latou te fa'aosofia ai tali sese e mafai ona va'aia. O se talosaga fa'apitoa e auina atu ai se mamanu fa'asino e pei o `$1:a:a` fa'apipi'i fa'atasi ma se mea gaogao. O fa'atinoga vaivai e taumafai e fo'ia lenei mea o se fa'aputuga meatotino i luga o se tau e le'i fa'amatalaina, ma i'u ai i se tuusaunoaga. E toe fa'afo'i mai e le 'au'aunaga se tulaga 500 ma se mamanu fa'apitoa o mea sese i le tino tali.
Gaioiga Vave mo Faʻalapotopotoga o loʻo Feagai ma le React2Shell (CVE-2025-55182) ma le Lamatiaga RCE
Faia se suʻesuʻega atoatoa o lau faʻavae o tusitusiga ma polokalama ua faʻapipiʻiina e su'e ai fa'aliliuga o afifi e vaivai. Ia gaua'i fa'apitoa i fa'alagolago tuusa'o o afifi a le 'au'aunaga React, fa'atinoga o le RSC i le tulaga o le Framework (Next.js, Waku, Redwood, ma isi), talosaga na fausia i le `create-next-app` po'o ni meafaigaluega fa'apena ma talosaga fa'aputu e ono i ai ni ata fa'avae ua tuai.
Su'esu'ega o le Fa'atulagaina o Polokalama Faakomepiuta (SCA) meafaigaluega pei Xygeni's SCA e mafai ona otometi lava ona iloa faʻalagolago ua aʻafia i lau lisi o polokalama faakomepiuta.
Fa'apipi'i loa:
Fa'afouga i lomiga ua fa'apipi'iina e pei o le React (19.0.1, 19.1.2, 19.2.1), Next.js (15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7) ma so'o se afifi fa'avae e aofia ai le RSC. O nei fa'afouga e fa'alauiloa ai le fa'amaoniga fa'apitoa mo le taulimaina o uta a le RSC ma puipuia ai le fa'aleaogaina o meatotino e le saogalemu lea e mafai ai ona fa'aaogaina.
Meafaigaluega fa'aleleia otometi, e pei o O le vaega fa'aleleia otometi a Xygeni, e mafai ona fa'avavevaveina le fa'agasologa i luga o fa'amaumauga tetele.
Fa'atino Puipuiga Fa'avaitaimi WAF:
A'o fa'asalalauina patches i lau fa'atulagaga pipeline, fa'agaoioia tulafono o le Web Application Firewall mo le puipuiga vave. Ua fa'alauiloa e kamupani tetele o lo'o tu'uina atu auaunaga ao ni tulafono fa'afuase'i, CloudflarePuipuiga otometi mo vaega uma pe a fa'apipi'i le fefa'ataua'iga a le React fa'apea fo'i ma AWS, Akamai, Fastly, Google Cloud ia i ai tulafono puipuiga talitutusa e maua. Fa'agaoioia nei pulega i le taimi lava lea e fai ai se vaega puipui i le taimi o le suiga.
Mata'ituina mo feoa'iga HTTP masalomia:
Fa'atulaga le fa'amauina ma le lapata'iga mo fa'ailoga o taumafaiga fa'aaogaina: O uta o le RSC Flight protocol ua le lelei pe le'i mafaufauina, o mamanu e le masani ai o mea sese e 500 i luga o pito o le RSC, o talosaga POST ma ulutala e masalomia o le `Next-Action` po'o le `Next-Router-State-Tree`, o talosaga faifai pea i ala `/_next/` ma uta e tele vaega.
Fa'amaonia lau Lisi o Meafaitino o le Polokalama Faakomepiuta:
E tele fa'avae e fa'apipi'i fa'atasi ai fa'alagolago i le RSC ma le manino, ma avea ai ma mea e le o va'aia i iloiloga fa'alagolago i luga o le fogaeleele. Siaki lau atoaga SBOM ia mautinoa: E leai ni faʻalagolago fesuiaʻi i luga o afifi vaivai o le React server o loʻo tumau pea, o faʻafouga o le faʻavae e leʻi faʻafuaseʻi ona faʻalauiloaina ai ni faʻatinoga tuai o le RSC.
Manatu Faʻaiʻu
O le React2Shell ua fa'atulagaina o se tasi o vaivaiga sili ona ogaoga o le faiga o le JavaScript i tausaga talu ai nei, e le ona o le faigata o le fa'aaogaina ae ona o le RSC e matua'i fa'atinoina lelei meafaigaluega o aso nei. I le taimi nei ua maua ni fa'apipi'i i le faiga atoa, e tatau i 'au ona fa'aosofia vave fa'aleleiga i le gaosiga.
Afai e faʻaaogaina e lau talosaga foliga o le 'auʻaunaga a le React, pe tuusaʻo pe lē tuusaʻo, e tatau ona e taulimaina lenei vaivaiga o se fofo e sili ona faamuamua.
