Edgen Crypto·Dec 04 2025, 06:04React Server Components 中发现一个最高严重级别的漏洞 (CVE-2025-55182)，允许未经身份验证的远程代码执行，迫使全球网络应用程序和云环境进行紧急修补。该漏洞易于利用，构成重大且即时的供应链风险。
在世界上最流行的 JavaScript 库之一的核心部分 React Server Components 中，发现了一个严重的远程代码执行（RCE）漏洞，编号为 CVE-2025-55182。该漏洞的 CVSS 严重性评级为最高 10.0，这意味着极高风险，因为它允许未经身份验证的攻击者在受影响的服务器上执行任意代码。该漏洞的影响范围广泛，影响了 Next.js 等主要框架，并且根据安全公司 Wiz 的研究，估计存在于 39% 的云环境中。这引发了软件行业紧急、广泛的修补工作，以减轻重大的供应链威胁。
该漏洞存在于 React 解码和反序列化发送到 React Server Function 端点的数据负载的方式中。攻击者可以精心制作一个恶意 HTTP 请求，当服务器处理该请求时，会导致远程代码执行。这允许在没有任何身份验证的情况下完全接管系统。该漏洞由安全研究员 Lachlan Davidson 发现，并于一个周六报告给 Meta，补丁在接下来的周三开发并发布——如此迅速的周转时间凸显了其被认为的严重性。
由于其依赖于易受攻击的 React 组件，流行的 Next.js 框架也受到影响，其维护者 Vercel 发布了单独的咨询 (CVE-2025-66478) 并立即发布了补丁。该漏洞影响多个版本的 React 包以及广泛的依赖框架，包括 React Router、Waku 以及来自 Vite 和 Parcel 的打包工具。
CVE-2025-55182 的发现暴露了现代软件供应链中根深蒂固的深层系统性风险。React 是数百万网络应用程序的基础，包括 Netflix、Shopify 和 Walmart 等主要上市公司使用的应用程序。直接影响包括：
安全专家对所需的紧迫性毫不含糊。watchTowr 首席执行官 Ben Harris 表示，漏洞利用不是“是否会发生”，而是“何时发生”的问题：
对这个漏洞做出如此谨慎回应的原因是，漏洞利用是不可避免的。我们应该预期攻击者会真正立即开始利用这个漏洞。
Rapid7 的高级首席研究员 Stephen Fewer 也表达了同样的观点，他警告了潜在的损害：
如果系统中存在访问密钥或其他秘密或敏感信息等内容，那么对该系统上存储的资源的影响可能是毁灭性的。
Wiz 的威胁情报主管 Amitai Cohen 强调了规模，提供了关键指标：“我们的数据显示，这些库可以在大约 39% 的云环境中找到易受攻击的版本。”
这个关键的 React 漏洞并非孤立事件，而是核心数字基础设施中一系列令人担忧的漏洞模式的一部分。最近，在 OpenAI 的 Codex CLI 中发现了一个类似的远程代码执行漏洞，该漏洞可能允许攻击者将代码存储库变成持久性后门。同时，美国网络安全和基础设施安全局 (CISA) 已就 Android 中的关键漏洞发出警告， urging users of Samsung 和 Pixel devices to update immediately or cease using them.
总而言之，这些事件说明了开放源代码库、人工智能开发工具和移动操作系统等多方面的安全挑战。对于企业而言，它凸显了对强大的漏洞管理以及对软件和硬件生态系统中根深蒂固的依赖关系的清晰理解的迫切需求。假设基础技术的安全性已经过时。