Descripción
Meta React Server Components contiene una vulnerabilidad de ejecución remota de código (RCE) que podría permitir la ejecución remota de código sin autenticación mediante la explotación de una falla en la forma en que React decodifica los payloads enviados a los endpoints de React Server Function. Tenga en cuenta que CVE-2025-66478 fue rechazado, pero está asociado con CVE-2025- 55182.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Después de aplicar las mitigaciones, verifique si existen señales de un posible compromiso en todas las instancias de REACT accesibles desde internet. Para más información, consulte react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-se…
- Aviso de github.com github.com/vercel-labs/fix-react2shell-next
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-55182
Ver el texto original en inglés (CISA)
Meta React Server Components Remote Code Execution Vulnerability
Meta React Server Components contains a remote code execution vulnerability that could allow unauthenticated remote code execution by exploiting a flaw in how React decodes payloads sent to React Server Function endpoints. Please note CVE-2025-66478 has been rejected, but it is associated with CVE-2025- 55182.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: Check for signs of potential compromise on all internet accessible REACT instances after applying mitigations. For more information, please see: https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components ; https://github.com/vercel-labs/fix-react2shell-next?tab=readme-ov-file ; https://nvd.nist.gov/vuln/detail/CVE-2025-55182