CVE-2025-55183

An information leak vulnerability exists in specific configurations of React Server Components versions 19.0.0, 19.0.1 19.1.0, 19.1.1, 19.1.

CVSS 3.1Medium

5.3/ 10.0

Опубликовано

11 декабря 2025 г.

Обновлено

7 января 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 19.0.2, 19.1.3, 19.2.2

Обновите пакеты React Server Components выше уязвимых линеек 19.0.x, 19.1.x и 19.2.x.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Утечка исходного кода Server Function в React Server Components через манипуляцию HTTP-запросами к строковым аргументам.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Уязвимость затрагивает пакеты react-server-dom-parcel, react-server-dom-turbopack и react-server-dom-webpack. Дефект возникает при обработке специально сформированного HTTP-запроса к Server Function, которая явно или неявно раскрывает строковый аргумент.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Неавторизованное чтение исходного кода произвольных Server Function в составе приложения.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Metareact-server-dom-webpack

>= 19.0.0➔Патч не выпущен

Metareact-server-dom-webpack

>= 19.1.0➔Патч не выпущен

Metareact-server-dom-webpack

>= 19.2.0➔Патч не выпущен

Metareact-server-dom-turbopack

>= 19.0.0➔Патч не выпущен

Metareact-server-dom-turbopack

>= 19.1.0➔Патч не выпущен

Metareact-server-dom-turbopack

>= 19.2.0➔Патч не выпущен

Metareact-server-dom-parcel

>= 19.0.0➔Патч не выпущен

Metareact-server-dom-parcel

>= 19.1.0➔Патч не выпущен

Metareact-server-dom-parcel

>= 19.2.0➔Патч не выпущен

——

>= 19.0.0➔Fix: 19.0.2

——

>= 19.0.0➔Fix: 19.0.2

——

>= 19.0.0➔Fix: 19.0.2

——

>= 19.1.0➔Fix: 19.1.3

——

>= 19.2.0➔Fix: 19.2.2

——

>= 19.1.0➔Fix: 19.1.3

——

>= 19.2.0➔Fix: 19.2.2

——

>= 19.1.0➔Fix: 19.1.3

——

>= 19.2.0➔Fix: 19.2.2

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (8)

www.facebook.comhttps://www.facebook.com/security/advisories/cve-2025-55183
react.devhttps://react.dev/blog/2025/12/11/denial-of-service-and-source-code-exposure-in-react-server-components
github.comhttps://github.com/Saturate/CVE-2025-55183
github.comhttps://github.com/StealthMoud/react-server-cve-lab
github.comhttps://github.com/X-Cotang/CVE-2025-55183_POC
github.comhttps://github.com/kimtruth/CVE-2025-55183-poc
github.comhttps://github.com/omaidnebari/RSC-Scanner-POC
github.comhttps://github.com/williavs/nextjs-security-update

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2025-55183: An information leak vulnerability exists in specific configurations of React Server Components versions 19.0.0, 19.0.1 19.1.0, 19.1.1, 19.1.. URL: https://cve.futuretools.ru/cve/CVE-2025-55183

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2025_55183,
  title = {{CVE-2025-55183: An information leak vulnerability exists in specific configurations of React Server Components versions 19.0.0, 19.0.1 19.1.0, 19.1.1, 19.1.}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2025-55183}},
  note = {Оперативный инженерный анализ киберугроз}
}