CVE-2025-55182: fallo crítico en Meta react-server-dom-parcel
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene exploit funcional público y 1 grupo(s) de amenaza la utilizan.
Grupos conocidos por explotar esta vulnerabilidad (atribución MITRE ATT&CK).
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
React Server Components versiones 19.0.0 hasta 19.2.0 tienen un fallo crítico que permite a atacantes ejecutar código malicioso en servidores sin necesidad de autenticación. La vulnerabilidad está en cómo el sistema procesa datos enviados a endpoints de Server Functions, tratando entrada no confiable como segura.
RCE pre-autenticación en paquetes react-server-dom (parcel, turbopack, webpack) causado por deserialización insegura de payloads de solicitudes HTTP en endpoints de Server Functions. Atacantes pueden crear objetos serializados maliciosos y enviarlos directamente a endpoints vulnerables sin autenticación, logrando ejecución arbitraria de código en el servidor.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.