【漏洞预警】 React反序列化代码执行（CVE-2025-55182）

2025-12-05

漏洞背景

React是一个JavaScript的Web开发框架。2025年12月4日，React披露处理服务端组件通信Flight协议的数据时存在缺陷，攻击者可以构造恶意请求数据，在服务端反序列化过程中实现任意代码执行。
Next.js是一个基于React的开源前端框架，其受上游供应链React组件 CVE-2025-55182 漏洞的影响，同步修复并发布了 CVE-2025-66478 漏洞编号。

风险等级

严重

漏洞状态

截止2025年12月04日18:00:00（UTC+8）

漏洞细节	PoC状态	在野利用
已公开	已公开	已发现

影响范围

react-server-dom-parcel

19.0.0 <= react-server-dom-parcel < 19.0.1
19.1.0 <= react-server-dom-parcel < 19.1.2
19.2.0 <= react-server-dom-parcel < 19.2.1

react-server-dom-turbopack

19.0.0 <= react-server-dom-turbopack < 19.0.1
19.1.0 <= react-server-dom-turbopack < 19.1.2
19.2.0 <= react-server-dom-turbopack < 19.2.1

react-server-dom-webpack

19.0.0 <= react-server-dom-webpack < 19.0.1
19.1.0 <= react-server-dom-webpack < 19.1.2
19.2.0 <= react-server-dom-webpack < 19.2.1

Next.js

14.3.0-canary.77 <= next < 15.0.5
15.1.1-canary.0 <= next < 15.1.9
15.2.0-canary.0 <= next < 15.2.6
15.3.0-canary.0 <= next < 15.3.6
15.4.0-canary.0 <= next < 15.4.8
15.5.1-canary.0 <= next < 15.5.7
16.0.0-canary.0 <= next < 16.0.7

Redwood SDK

rwsdk < 1.0.0-beta.36

Vitejs

@vitejs/plugin-rsc < 0.5.3

修复建议

react-server-dom-parcel

升级至 19.0.1、19.1.2、19.2.1 任一或更新版本

react-server-dom-turbopack

升级至 19.0.1、19.1.2、19.2.1 任一或更新版本

react-server-dom-webpack

升级至 19.0.1、19.1.2、19.2.1 任一或更新版本

Next.js

升级至 15.0.5、15.1.9、15.2.6、15.3.6、15.4.8、15.5.7、16.0.7 任一或更新版本

Redwood SDK

升级至 1.0.0-beta.36 或更新版本

Vitejs

升级至 0.5.3 或更新版本

参考链接