🚨 紧急警报：React 曝出核弹级漏洞，无需登录即可接管服务器
<p><strong>发布时间：</strong> 2025年12月4日<br><strong>关键词：</strong> React, CVE-2025-55182, 远程代码执行, CVSS 10.0</p>
<p>如果你是开发者，或者你的公司网站使用了 Next.js、React Router 等现代 React 框架，请立刻停下手中的工作读完这篇文章。</p>
<p>就在昨天（2025年12月3日），React 官方团队发布了一则紧急安全公告，披露了一个代号为 <strong>CVE-2025-55182</strong> 的严重漏洞。这个漏洞的危险系数被评为 <strong>CVSS 10.0</strong>——这是安全漏洞评分系统中的<strong>最高分</strong>（满分）。</p>
<p>对于不了解技术细节的朋友，以下是这次事件的通俗解读：</p>
<h3 id="1-哪里出了问题">1. 哪里出了问题？</h3>
<p>问题出在 <strong>React Server Components (RSC)</strong> 的核心处理机制上。</p>
<p>简单来说，现代 React 允许一部分代码在用户的浏览器里跑，另一部分代码在服务器上跑。这个漏洞就藏在<strong>服务器端处理来自用户请求的代码包</strong>（Packages）里。</p>
<p><strong>受影响的具体组件包括：</strong></p>
<ul>
<li><code>react-server-dom-webpack</code></li>
<li><code>react-server-dom-parcel</code></li>
<li><code>react-server-dom-turbopack</code></li>
</ul>
<p><strong>⚠️ 最可怕的一点是：</strong><br>
即使你的程序员没有专门编写“服务器函数（Server Functions）”，只要你的网站使用了支持 RSC 的框架（比如 Next.js 15+），你的应用默认就可能包含这个漏洞机制。</p>
<h3 id="2-怎么出的问题">2. 怎么出的问题？</h3>
<p>要理解这个问题，我们可以把服务器和用户之间的通信想象成“收发快递”。</p>
<ul>
<li><strong>正常情况：</strong> 用户点击按钮，浏览器把请求打包成一个“快递包裹”，发送给服务器。服务器收到包裹，拆开（解码/反序列化），理解里面的指令（比如“请给我最新的新闻列表”），然后照做。</li>
<li><strong>漏洞原理：</strong> 此次发现的问题在于，React 在“拆包裹”这一步过于信任包裹里的内容了。</li>
</ul>
<p>攻击者可以精心伪造一个<strong>恶意的“毒包裹”</strong>。这个包裹的外表看起来是一个正常的 HTTP 请求，但其内部的数据结构经过特殊设计。当 React 的服务器端代码尝试<strong>解码（Deserialization）</strong>这个数据包时，并不是读出数据，而是直接触发了包裹里隐藏的指令。</p>
<p>这个过程不需要攻击者拥有管理员账号，也不需要登录，只要能给你的服务器发请求就能触发。</p>
<h3 id="3-为什么非常严重">3. 为什么非常严重？</h3>
<p>之所以这个漏洞被打出 <strong>10.0 的满分</strong>，是因为它集齐了所有“最坏的情况”：</p>
<ol>
<li><strong>无需身份验证（Unauthenticated）：</strong> 攻击者不需要知道任何密码，不需要登录你的系统，路人甲就能发起攻击。</li>
<li>**远程代码执行（RCE）：一旦攻击成功，意味着黑客可以在你的服务器上执行任意代码。
<ul>
<li>他们可以<strong>窃取</strong>整个数据库的数据。</li>
<li>他们可以<strong>删除</strong>所有文件。</li>
<li>他们可以<strong>植入</strong>勒索病毒或挖矿软件。</li>
<li>简而言之，<strong>你的服务器不再属于你，而是属于黑客。</strong></li>
</ul>
</li>
<li><strong>影响范围广：</strong> 几乎所有使用 React 19 相关版本（19.0 到 19.2.0）的主流框架（Next.js, Waku, Expo 等）都受影响。</li>
</ol>
<h3 id="4-现在该怎么办">4. 现在该怎么办？</h3>
<p><strong>不仅要修，而且要快。</strong></p>
<p>如果你的项目使用了 React 19 或 Next.js 15+，请立即通知技术团队执行以下操作：</p>
<ol>
<li><strong>检查版本：</strong> 确认是否使用了受影响的 React 版本（19.0, 19.1.0, 19.1.1, 19.2.0）。</li>
<li><strong>立即升级：</strong> 官方已经发布了修复补丁。
<ul>
<li>React 需升级到：<strong>19.0.1, 19.1.2, 或 19.2.1</strong>。</li>
<li>Next.js 用户需升级到最新的补丁版本（例如 15.0.5, 15.1.9 等，详见官方文档）。</li>
</ul>
</li>
<li><strong>不要心存侥幸：</strong> 虽然云服务商可能正在部署临时拦截措施，但这不能作为最终防线。必须升级代码库。</li>
</ol>
<p><strong>总结一句话：这是一次最高级别的安全警报，就像你家大门敞开且没有任何保安。请立刻升级你的 React 依赖包！</strong></p>
<hr>
<p><em>参考来源</em>：React 官方博客 "Critical Security Vulnerability in React Server Components" (2025-12-03)</p><br><br>
来源：https://www.cnblogs.com/windo/p/19305918
頁:
[1]