CVE-2025-55182

اسم البرنامج المصاب والإصدارات المتأثرة react-server-dom-webpack الإصدارات من 19.0.0 إلى 19.2.0 react-server-dom-parcel الإصدارات من 19.0.0 إلى 19.2.0 react-server-dom-turbopack الإصدارات من 19.0.0 إلى 19.2.0 Next.js الإصدارات من 15.x إلى 16.x Next.js الإصدارات من 14.3.0-canary.77 إلى 14.3.x

Description توجد ثغرة تنفيذ عن بُعد للكود بدون مصادقة في React Server Components بسبب إلغاء تسلسل (deserialization) غير آمن للحمولات في طلبات HTTP المرسلة إلى نقاط نهاية Server Function. ترتبط هذه الثغرة تحديداً بالدالة requireModule() وعيوب في آلية إلغاء التسلسل عند معالجة المعلمة hasOwnProperty. يسمح هذا لمهاجم عن بُعد بتنفيذ كود JavaScript عشوائي في سياق الخادم. تم رصد عمليات استغلال فعلية، بما في ذلك نشر EtherRAT (باب خلفي Node.js يستخدم C2 قائم على البلوكشين)، وتعدين العملات الرقمية، وبرمجية الفدية Weaxor، التي يمكنها تشفير الملفات وحذف نسخ الظل للمجلدات في غضون دقائق من الوصول الأولي.

Recommendations تحديث react-server-dom-webpack إلى الإصدارات 19.0.1 أو 19.1.2 أو 19.2.1. تحديث react-server-dom-parcel إلى الإصدارات 19.0.1 أو 19.1.2 أو 19.2.1. تحديث react-server-dom-turbopack إلى الإصدارات 19.0.1 أو 19.1.2 أو 19.2.1. تحديث Next.js إلى الإصدارات 15.0.5 أو 15.1.9 أو 15.2.6 أو 15.3.6 أو 15.4.8 أو 15.5.7 أو 16.0.7 أو 15.6.0-canary.58 أو 16.1.0-canary.12+. الرجوع بإصدارات Next.js 14.3 canary إلى إصدار مستقر من 14.x أو الإصدار 14.3.0-canary.76. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقاط نهاية Server Function أو تطبيق قواعد WAF لكشف وحظر محاولات الاستغلال.