React 被爆出 CVSS 评级 10 分的严重漏洞！

最新推荐文章于 2026-05-09 08:41:08 发布

原创最新推荐文章于 2026-05-09 08:41:08 发布 · 649 阅读

4 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

标签

#react.js #前端 #前端框架

北京时间 2025 年 12 月 3 日，React 团队发布了一则极其重要的安全公告：React Server Components (RSC) 中存在一个严重的远程代码执行漏洞。

该漏洞已被分配编号 CVE-2025-55182，CVSS 评级为 10.0——这意味着这是最高级别的危急漏洞，不需要任何身份验证，攻击者即可利用该漏洞在服务器上执行任意代码。

🚨 漏洞核心：发生了什么？

简单来说，这是一个反序列化漏洞。

React Server Functions 允许客户端向服务器发送请求。React 提供了一套机制将客户端的 HTTP 请求转换为服务器端的函数调用。

问题出在 React 处理和解码这些发往 Server Function 端点的 payload（负载）的方式上。攻击者可以构造一个恶意的 HTTP 请求，当 React 在服务器端尝试反序列化这个请求时，就会触发漏洞，导致远程代码执行。

特别注意： 即使你的应用代码里没有显式地编写任何 Server Function，只要你的应用环境（框架或打包器）支持并开启了 React Server Components 功能，你就有可能受到攻击。

⚠️ 受影响的版本与范围

该漏洞影响以下包的 19.0.0, 19.1.0, 19.1.1, 19.2.0 版本：

react-server-dom-webpack
react-server-dom-parcel
react-server-dom-turbopack

如果你使用了依赖上述包的框架，那么你大概率是受影响的。这包括但不限于：

Next.js (重灾区)
React Router
Waku
Expo
Redwood SDK
@vitejs/plugin-rsc

🛠 解决方案：立即升级

React 团队已经发布了修复版本（19.0.1, 19.1.2, 19.2.1）。各大框架也已紧急跟进。请根据你使用的技术栈执行以下操作：

1. Next.js 用户 (最常见)

Next.js 用户需要将版本升级到各自大版本的最新补丁版：

Next.js 15.x:
- 15.0.x 用户 -> 升级到 15.0.5
- 15.1.x 用户 -> 升级到 15.1.9
- 15.2.x 用户 -> 升级到 15.2.6
- 15.3.x 用户 -> 升级到 15.3.6
- 15.4.x 用户 -> 升级到 15.4.8
- 15.5.x 用户 -> 升级到 15.5.7
Next.js 16.x:
- 升级到 16.0.7

注意： 如果你正在使用 Next.js 14.3.0-canary.77 或更新的 canary 版本，官方建议降级到最新的稳定版 14.x：

npm install next@14

2. React Router 用户

如果你使用了 React Router 不稳定的 RSC API，请检查并升级依赖：

npm install react@latest react-dom@latest react-server-dom-webpack@latest
# 如果使用了 parcel 或 vite 插件，也一并更新：
npm install react-server-dom-parcel@latest @vitejs/plugin-rsc@latest

3. Waku 用户

npm install react@latest react-dom@latest react-server-dom-webpack@latest waku@latest

4. Expo 用户

npm install react@latest react-dom@latest react-server-dom-webpack@latest

5. Redwood SDK 用户

确保 rwsdk 版本 >=1.0.0-alpha.0，并升级到最新 beta：

npm install rwsdk@latest
npm install react@latest react-dom@latest react-server-dom-webpack@latest

🛑 常见问题

Q: 我的应用是纯客户端渲染（SPA），没有服务器，受影响吗？A: 不受影响。如果你的 React 代码完全不涉及服务端运行，或者你的构建工具不支持 React Server Components，你是安全的。

Q: 云服务商帮我防住了吗？A: Meta 和 React 团队已经与部分托管服务商合作部署了临时缓解措施。但是，你绝不能依赖这一点。官方明确建议：不要抱侥幸心理，必须升级代码库依赖。

⏳ 时间线回顾

这次漏洞处理非常迅速：

11月29日： 安全研究员 Lachlan Davidson 报告漏洞。
11月30日： Meta 安全团队确认并开始修复。
12月03日： 修复补丁发布至 npm，漏洞详情公开（CVE-2025-55182）。

建议：如果你在使用 React，需要立刻检查 package.json，安排紧急发布。