近日，Meta的React核心团队与Vercel的Next.js团队联合发布公告，披露了两个最高危险等级（Critical）的安全漏洞：CVE-2025-55182（React）和CVE-2025-66478 （Next.js），其CVSS评分均达到10分满分，在一定条件下，攻击者可利用漏洞执行任意代码。同时，阿里云安全已经监测到有知名的黑客工具发布利用了该漏洞的模块。
由于React、Next.js等框架已经成为诸多开发人员的首选方案，数百万网站和应用程序都基于该框架构建，而攻击者可能利用该漏洞入侵服务器，可能会对业务造成不可挽回的损失，阿里云安全建议所有受影响客户立即进行修复。
React Server Components（RSC）是React 19新引入的一种组件类型，广泛用于Next.js等框架中进行渲染服务。在CVE-2025-55182 中，由于在解析客户端提交的表单时缺乏校验，攻击者可构造恶意请求调用相关内置模块，最终导致未授权代码执行。同时由于RSC已被 Next.js等主流框架中采用，例如 Next.js 15.x、16.x等版本中引用了受影响的React组件包，因此同样受影响，其对应CVE号为CVE-2025-66478。
针对React组件，其受影响版本如下：
react-server-dom-parcel 19.0、19.1.0、19.1.1、19.2.0
react-server-dom-turbopack 19.0、19.1.0、19.1.1、19.2.0
react-server-dom-webpack 19.0、19.1.0、19.1.1、19.2.0
针对Next.js，其受影响范围如下：
14.3.0-canary.77 <= Next < 15.0.5
15.1.0 <= Next < 15.1.9
15.2.0 <= Next < 15.2.6
15.3.0 <= Next < 15.3.6
15.4.0 <= Next < 15.4.8
15.5.0 <= Next < 15.5.7
16.0.0 <= Next < 16.0.7
针对CVE-2025-55182和CVE-2025-66478漏洞，阿里云安全快速响应，已全面更新各安全产品规则，实现主机层漏洞扫描、应用层和网络层漏洞防护与阻断的全面防御，阿里云安全也建议使用React及Next.js框架的用户尽快采取安全措施缓解漏洞攻击。
用户开启云安全中心后，可使用【漏洞管理-应用漏洞】或者【主机防护-无代理检测】为ECS主机做该漏洞的扫描检测，无代理检测能力支持在不安装客户端的情况下，对云服务ECS进行安全风险评估，此过程对服务器性能几乎无影响。
用户也可使用【镜像安全扫描】功能模块，为容器镜像做该漏洞的扫描检测，镜像安全扫描提供了全面的安全检测和管理能力，可快速帮助客户发现镜像中存在的高危系统漏洞、应用漏洞、恶意样本、配置风险等。
检测出此漏洞后，推荐您使用Web应用防火墙和云防火墙做拦截防护，同时尽快升级业务组件。
用户可按如下步骤完成检测防御：
用户可通过【云安全中心→风险治理→漏洞管理】一键开启应用漏洞扫描，开启后将对云安全中心纳管主机进行应用漏洞扫描。（注：已支持软件成分分析和远程扫描方式检测识别CVE-2025-66478漏洞）
用户可通过【云安全中心→主机防护→无代理检测】一键开启无代理漏洞扫描，开启后将对阿里云主机进行无代理方式的漏洞扫描。（注：已支持软件成分分析方式检测识别CVE-2025-66478和CVE-2025-55182漏洞）
用户也可通过【云安全中心→容器防护→镜像安全扫描】一键开启容器镜像漏洞扫描，开启后将对容器镜像进行漏洞扫描。（注：已支持软件成分分析方式检测识别CVE-2025-66478和CVE-2025-55182漏洞）
若您当前未开启自动更新，可按如下步骤进行检测防御：
如使用Web应用防火墙3.0新版Web核心防护规则，可手动开启规则901017，并将规则动作调整为拦截。
如使用Web应用防火墙3.0旧版Web核心防护规则及Web应用防火墙2.0，需要将规则901017添加到对应生效的规则组中，并将规则动作调整为拦截。
用户可按如下步骤完成检测防御：
您可在IPS配置-互联网边界/VPC边界虚拟补丁模块查看到该防护规则，规则ID41000485。
此外，建议您开启互联网新增资产自动保护开关，对您新增的互联网暴露资产自动开启云防火墙保护来防护该漏洞。
针对已购买阿里云安全管家托管服务（MSS）的用户，阿里云可提供以下支持：
资产识别：自动发现使用受影响React或Next.js版本的应用资产。
修复指导：快速及时提供精准升级建议及临时缓解措施（如WAF自定义规则）。
排查应用中是否引入了相关受影响的React组件以及相关框架（如Nextjs等），若存在，强烈推荐升级至安全版本。例如针对Next.js 框架用户，根据使用版本执行相关命令升级。
npm install [email protected] # for 15.0.xnpm install [email protected] # for 15.1.xnpm install [email protected] # for 15.2.xnpm install [email protected] # for 15.3.xnpm install [email protected] # for 15.4.xnpm install [email protected] # for 15.5.xnpm install [email protected] # for 16.0.x
若使用Next.js 14.3.0-canary.77等及其之后的canary版本，则建议降低至Nextjs 14稳定版本。
npm install next@14其它框架使用者可以参考https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components进行相关排查与升级。
使用各类安全防护产品（WAF、云防火墙等）阻断相关扫描与攻击。（注：该方案仅为缓解措施，若要根绝漏洞，请按照修复方案进行升级）
参考链接
1、https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
2、https://nextjs.org/blog/CVE-2025-66478
3、https://github.com/vercel/next.js/security/advisories/GHSA-9qr9-h5gf-34mp
4、https://github.com/facebook/react/security/advisories/GHSA-fv66-9v8q-g76r
5、https://avd.aliyun.com/detail?id=AVD-2025-66478
6、https://avd.aliyun.com/detail?id=AVD-2025-55182
阿里云安全
国际领先的云安全解决方案提供方，零信任SASE、数据安全、流量安全等8大安全域百余项核心能力，助力百行百业在云上构建生于云架构，具备高度一体化、智能化、自我进化特征的原生安全保护体系。阿里云安全能力获权威机构认可：在2023年Forrester《基础设施即服务平台原生安全Wave™》报告中，阿里云荣升强劲表现者象限，容器安全等标准中获得最高分；在IDC《中国公有云网络安全即服务市场份额，2022》报告中，阿里云市场份额位居第一；在Gartner®发布的网络防火墙魔力象限《Magic Quadrant™ for Network Firewalls，2022》中，阿里云连续2年进入“挑战者”象限。云原生安全技术的引领探索和实践者，通过安全能力与云紧耦合，实现双向技术的变革式突破，安全能效数倍提升，高弹高可用、稳定与协同；云服务内置天然免疫基因，与用户一起共同守护云上数字原生世界安全。
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...