React核弹级漏洞爆发：满分危害与修复指南

这一漏洞获得了CVSS最高评级（10.0分），攻击者无需身份验证、无需登录、无需任何用户交互。只需构造一个精心设计的POST请求，就能直接在服务器上执行任意代码。

今日曝出的这个严重漏洞，已在安全圈引发广泛关注。

该漏洞因达到CVSS最高危险等级（10.0分）而备受关注，攻击者既不需要通过认证，也无需登录账号，更不必与系统进行交互。攻击者只需发送一个精心构造的POST请求，即可在目标服务器上直接运行任意代码。

漏洞源头来自React Server Components（RSC），目前最新情况已得到确认。

React Server Components是React团队推出的新一代服务端渲染方案，其核心目标是在保障客户端交互体验的前提下，最大化利用服务端能力，包括直接访问数据库、避免敏感数据暴露，同时优化应用性能、体积和加载速度。目前已被Next.js等主流框架采纳，广泛应用于电商平台、新闻资讯、内容社区等场景。

以下是RSC的典型应用场景：

内容型/数据密集型场景，如电商详情页、后台管理系统、资讯门户、文档平台、数据仪表盘等；需保护敏感逻辑/数据的场景，如支付页面、用户隐私数据展示、后台权限校验、涉及密钥/算法的业务逻辑；大型交互型应用场景，如社交平台（朋友圈互动与点赞评论）；低性能设备/弱网环境适配场景，如移动端H5页面、物联网设备端界面。

漏洞危害：

攻击者无需通过身份验证，无需登录系统，也无需进行任何交互操作，仅需向公开的服务端点发送一个精心构造的POST请求，即可直接在服务器上执行任意代码。

可能导致：

服务器完全沦陷（获取反向Shell访问权限）、数据库凭据泄露、环境变量暴露、密钥全部泄漏、内网横向移动、进一步攻击其他系统、数据被加密勒索或直接删除、业务长时间中断、声誉严重受损。

漏洞原理：

React Server Components（RSC）在反序列化客户端提交的"Flight"协议数据时存在不安全反序列化缺陷，导致攻击者可注入并执行任意JavaScript代码。

根据漏洞原理，以下情况不受影响：

仅使用纯前端页面渲染、前后端分离架构未启用React Server Components（RSC）功能。

受影响范围

解决方案：

官方已发布安全补丁，请及时更新至最新版本：

# React 项目 npm update react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack # Next.js 项目（推荐直接升级到最新稳定版） npm update next@latest # 或手动指定安全版本，例如： npm install next@16.0.7 # 或 15.5.7 等

最新升级方法：

https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

漏洞验证POC：

https://github.com/ejpir/CVE-2025-55182-poc

建议立即开展自查，并及时进行修复！