CVE-2025-55182

Inquiétude autour de CVE-2025-55182 dans React et Next.js

Une faille de sécurité critique, identifiée sous le nom de CVE-2025-55182, a été découverte dans les React Server Components (RSC), affectant spécifiquement React versions 19.0, 19.1 et 19.2, ainsi que Next.js versions 15 à 16. Le problème réside dans une désérialisation non sécurisée de requêtes malveillantes, ouvrant la porte à l’exécution de code à distance (RCE) sur le serveur.

Points clés :

• La vulnérabilité est présente dans le package react-server et son implémentation du protocole RSC “Flight”.
• Le serveur ne valide pas adéquatement la structure des charges utiles malformées.
• Cela permet à des données contrôlées par un attaquant d’influencer l’exécution côté serveur.
• La configuration par défaut des applications affectées est compromise, rendant les déploiements standards vulnérables.

Vulnérabilité :

• CVE-2025-55182

Recommandations :

• Mettre à jour React vers la version 19.2.1.
• Mettre à jour Next.js vers les dernières versions disponibles (par exemple, 16.0.7, 15.5.7, 15.4.8).
• Des mesures de blocage des tentatives d’exploitation ont été mises en place par Cloudflare sur son réseau.

Source