CVE-2025-55184

Une vulnérabilité de déni de service dans React Server Components

Une faille de sécurité, identifiée sous la référence CVE-2025-55184, affecte plusieurs versions de React Server Components (RSC), de 19.0.0 à 19.2.1. Cette vulnérabilité découle d’une désérialisation non sécurisée de données provenant des requêtes HTTP adressées aux points de terminaison des fonctions serveur.

Points clés :

• Nature de la vulnérabilité : Déni de service.
• Composant affecté : React Server Components (RSC).
• Versions concernées : 19.0.0, 19.0.1, 19.1.0, 19.1.1, 19.1.2, 19.0.0, 19.2.0, 19.2.1.
• Mécanisme : Désérialisation non sécurisée de charges utiles dans les requêtes HTTP vers les points de terminaison des fonctions serveur.
• Conséquence : Boucle infinie qui bloque le processus du serveur, l’empêchant de traiter les requêtes HTTP futures.
• Mode d’exploitation : Envoi d’une requête HTTP spécialement conçue à un point de terminaison de l’App Router.
• Prérequis : Aucune authentification n’est nécessaire ; des compétences basiques en création de requêtes HTTP suffisent.
• Historique des correctifs : Un premier correctif n’était pas complet. Un correctif définitif a été publié sous la référence CVE-2025-67779.

Vulnérabilités :

• CVE-2025-55184 (déni de service)

Recommandations :

Il est essentiel d’appliquer le correctif définitif associé à CVE-2025-67779 pour résoudre cette vulnérabilité.

Source