Nowe podatności w bibliotece React.js. (P25-452)

cert.pse-online.pl 2 dni temu

Produkt	React-server-dom-webpack – wersje 19.0.0, 19.1.0, 19.1.1 i 19.2.0 React-server-dom-parcel – wersje 19.0.0, 19.1.0, 19.1.1 i 19.2.0 React-server-dom-turbopack – wersje 19.0.0, 19.1.0, 19.1.1 i 19.2.0
Numer CVE	CVE-2025-55184, CVE-2025-67779
Krytyczność	7.5/10
CVSS	AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Opis	Podatny na atak kod niebezpiecznie deserializuje ładunki z żądań HTTP do punktów końcowych funkcji serwera, co może spowodować nieskończoną pętlę, która zawiesza proces serwera i uniemożliwia obsługę przyszłych żądań HTTP. Stwierdzono, iż poprawka rozwiązująca lukę CVE-2025-55184 w komponentach React Server Components była niekompletna i nie zapobiega atakowi typu „odmowa usługi” w konkretnym przypadku.

Numer CVE	CVE-2025-55183
Krytyczność	5.3/10
CVSS	AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Opis	Specjalnie spreparowane żądanie HTTP wysłane do podatnej na ataki funkcji serwera może w sposób niebezpieczny zwrócić kod źródłowy dowolnej funkcji serwera. Wykorzystanie luki wymaga istnienia funkcji serwera, która jawnie lub niejawnie ujawnia argument w postaci ciągu znaków.

Aktualizacja	TAK
Link	https://react.dev/blog/2025/12/11/denial-of-service-and-source-code-exposure-in-react-server-components