React-tiimi on julkaissut erittäin vakavan tietoturvahaavoittuvuuden, joka koskee React Server Components -arkkitehtuuria sekä sen varaan rakentuvia kehitysalustoja, erityisesti Next.js-sovelluksia. Haavoittuvuus mahdollistaa täysin autentikoimattoman etähyökkäyksen, jonka avulla hyökkääjä voi suorittaa mielivaltaista koodia palvelimella.
Haavoittuvuus on tunnistettu tunnisteilla CVE-2025-55182 (React) ja CVE-2025-66478 (Next.js), ja se on arvioitu vakavuusluokkaan CVSS 10.0 – kriittisin mahdollinen. Ongelmasta raportoi 29. marraskuuta tietoturvatutkija Lachlan Davidson, ja React-tiimi julkaisi korjaukset vain muutamassa päivässä.
Vika liittyy React Server Componentsin käyttämään Flight-protokollaan ja tapaan, jolla palvelin käsittelee asiakkaalta tulevia RSC-kuormien prosessointia. Reactin mukaan sovellus voi olla haavoittuva, vaikka se ei käyttäisi lainkaan Server Function -päätepisteitä, jos RSC-tuki on muuten käytössä.
Haavoittuvuus on läsnä Reactin ja react-server-dom -pakettien versioissa 19.0, 19.1.0, 19.1.1 ja 19.2.0. Myös useat RSC:tä hyödyntävät frameworkit – kuten Next.js, React Router RSC, Waku, Parcel RSC ja Vite RSC – ovat alttiita. Hosting-palveluntarjoajille on toimitettu väliaikaisia suojauksia, mutta React korostaa, että vakaa korjaus on ainoa luotettava tapa suojautua.
Päivitys on tehtävä välittömästi
React-tiimin mukaan korjaukset ovat saatavilla versioissa 19.0.1, 19.1.2 ja 19.2.1. Next.js-käyttäjien tulee päivittää oman versionumerosarjansa uuteen korjattuun julkaisuun:
- 15.0.x → 15.0.5
- 15.1.x → 15.1.9
- 15.2.x → 15.2.6
- 15.3.x → 15.3.6
- 15.4.x → 15.4.8
- 15.5.x → 15.5.7
- 16.0.x → 16.0.7
Jos käytössä on Next.js 14.3.0-canary, React suosittelee paluuta vakaaseen 14-sarjaan.
Lähes 40 prosenttia pilviympäristöistä sisältää haavoittuvia React- tai Next.js-instansseja, ja yli 60 prosenttia Next.js-asennuksista on julkisesti tavoitettavissa. Haavoittuvuuden hyödyntäminen on raporttien mukaan suoraviivaista ja toimi käytännössä 100-prosenttisesti.
React-tiimi aikoo julkaista yksityiskohtaisemman teknisen kuvauksen vasta, kun korjaukset ovat laajasti käyttöönotettu. Siihen asti järjestelmät kehotetaan päivittämään välittömästi.
Lisätietoja Reactin blogissa.
