CVE-2025-55184

Déni de Service dans React Server Components

Une vulnérabilité de type déni de service (DoS) affecte les React Server Components (RSC) dans plusieurs versions (19.0.0 à 19.2.1). Elle découle d’une désérialisation non sécurisée de données reçues via des requêtes HTTP vers des points d’accès de fonctions serveur. Ce défaut peut provoquer une boucle infinie, bloquant le processus serveur et l’empêchant de traiter d’autres requêtes.

L’exploitation ne requiert aucune authentification et peut être réalisée via une requête HTTP spécialement conçue ciblant n’importe quel point d’accès de l’App Router.

• Points clés:
  • Déni de service affectant React Server Components (RSC).
  • Exploitation via des requêtes HTTP spécialement conçues.
  • Ne nécessite pas d’authentification.
  • Une première correction a été jugée incomplète.
• Vulnérabilités:
  • CVE-2025-55184 (origine, avec un correctif incomplet)
  • CVE-2025-67779 (correctif complet)
• Recommandations:
  • Mettre à jour React Server Components vers une version corrigée.

Source