آسیب‌پذیری بحرانی با نام «React2Shell» در پروتکل «Flight» مربوط به React Server Components امکان اجرای کد از راه دور بدون احراز هویت در برنامه‌های React و Next.js را فراهم می‌کند. این نقص امنیتی که از دی‌سریالایزیشن ناامن (insecure deserialization) ناشی می‌شود، امتیاز شدت ۱۰ از ۱۰ دریافت کرده و با شناسه‌های CVE-2025-55182 برای React و CVE-2025-66478 برای Next.js ثبت شده است. محقق امنیتی لاکلان دیویدسون این آسیب‌پذیری را کشف و در ۲۹ نوامبر به React گزارش کرد. بر اساس هشدار امنیتی React، حتی برنامه‌هایی که نقاط پایانی React Server Function را پیاده‌سازی نکرده‌اند نیز در صورت پشتیبانی از React Server Components آسیب‌پذیر هستند.
محققان پلتفرم امنیت ابری Wiz هشدار می‌دهند که ۳۹ درصد محیط‌های ابری تحت نظارت آن‌ها دارای نسخه‌های آسیب‌پذیر Next.js یا React هستند. این آسیب‌پذیری نسخه‌های ۱۹.۰ تا ۱۹.۲.۰ React و نسخه‌های آزمایشی Next.js از ۱۴.۳.۰ به بعد و تمام نسخه‌های شاخه‌های ۱۵ و ۱۶ را تحت تأثیر قرار می‌دهد. توسعه‌دهندگان به‌شدت توصیه می‌شوند به نسخه‌های اصلاح‌شده React (۱۹.۰.۱، ۱۹.۱.۲ و ۱۹.۲.۱) و Next.js (۱۵.۰.۵، ۱۵.۱.۹ و نسخه‌های جدیدتر) ارتقا یابند. محبوبیت این دو راه‌حل در تعداد دانلودهای هفتگی آن‌ها منعکس است؛ React با ۵۵.۸ میلیون و Next.js با ۱۶.۷ میلیون دانلود در NPM.
کلمات کلیدی : React2Shell, آسیب‌پذیری بحرانی, React Server Components, اجرای کد از راه دور, Next.js, دی‌سریالایزیشن ناامن
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.