2025年12月4日，React安博电竞娱乐手机版登录已发布新版本修复。CNVD建议受影响的用户立即升级至最新版本。对应CVE-2025-55182、CVE-2025-66478）。攻击者利用该漏洞可在未授权条件下实现远程代码执行，安博电竞娱乐手机版登录信息安全漏洞共享平台（CNVD）收录了React Server Components远程代码执行漏洞（CNVD-2025-29924，漏洞利用代码已公开，获得目标服务器控制权限。目前，
一、漏洞情况分析
React是用于构建用户界面的JavaScript库，由美国Meta安博电竞娱乐手机版登录开发维护。该库自2013年起开源。已成为全球流行的前端开发工具之一。
React Server Components（RSC）是React 18开始引入的一种渲染处理方式。此外RSC允许React组件在服务器端执行，大幅降低了客户端运行负载，流式传输给客户端。RSC被Next.js、Shopify Hydrogen、Gatsby 5等主流框架广泛采用。RSC与其他渲染处理方式（客户端渲染、服务器端渲染）相比，并通过Flight协议将序列化的渲染结果，加快了页面加载速度。
获取目标服务器权限。缺少必要的安全校验，在处理客户端的Flight协议数据时，未经授权的攻击者可在远程条件下，安博电竞娱乐手机版登录信息安全漏洞共享平台收录了React Server Components远程代码执行漏洞。由于RSC服务器的react-server相关程序，通过构造恶意RSC请求发送至目标服务器，实现对服务器的远程代码执行，2025年12月4日，
CNVD对该漏洞的综合评级为“高危”。
二、漏洞影响范围
漏洞影响的产品版本包括：
1、React：
React 19.0.0
React 19.1.0
React 19.1.1
React 19.2.0
2、使用RSC和App Router的Next.js：
Next.js v15.0.0-15.0.4
Next.js v15.1.0-15.1.8
Next.js v15.2.x-15.5.6
Next.js v16.0.0-16.0.6
Next.js v14.3.0-canary.77及以上Canary版本
3、Dify、NextChat等依赖React的产品。
三、漏洞处置建议
当前，并立即通过官方链接（下载源）更新至最新版本：CNVD建议受影响用户尽快进行自查，React和Next.js已发布新版本修复该漏洞，
https://react.dev/blog/2025/12/03/critical-security-vulnerability-inreact-server-components
https://nextjs.org/
感谢CNVD技术组支撑单位——北京知道创宇信息技术股份有限安博电竞娱乐手机版登录、奇安信网神信息技术（北京）股份有限安博电竞娱乐手机版登录、三六零数字安全科技安博电竞娱乐手机版登录有限安博电竞娱乐手机版登录、北京长亭科技有限安博电竞娱乐手机版登录为本报告提供的技术支持。
附参考链接：
https://www.facebook.com/security/advisories/cve-2025-55182
https://react.dev/blog/2025/12/03/critical-security-vulnerability-inreact-server-components
https://github.com/vercel/next.js
