React和Next.js远程代码执行漏洞CVE-2025-55182：站长紧急升级指南

2025年12月，安全研究人员披露了一个影响React和Next.js的严重远程代码执行（RCE）漏洞，编号为CVE-2025-55182。这个漏洞被评为严重（Critical）级别，影响范围覆盖React 19.x系列和使用App Router的Next.js 15.x/16.x版本。

漏洞详情

该漏洞存在于React的Server Functions机制中。Server Functions是React 19引入的一项功能，允许开发者在服务端直接调用函数，而无需手动编写API端点。问题在于，攻击者可以构造恶意请求来绕过身份验证，直接调用服务端函数，从而实现远程代码执行。

具体来说，攻击者可以通过以下方式利用该漏洞：

• 向受影响的Next.js应用发送特制的HTTP请求
• 绕过Server Functions的身份验证检查
• 在服务端执行任意代码
• 获取服务器的完全控制权

影响范围

以下版本受到影响：

• React：19.0.0、19.1.0、19.1.1、19.2.0
• Next.js：15.x系列（使用App Router）和16.x系列

使用Pages Router的Next.js应用不受此漏洞影响。此外，未使用Server Functions的React应用风险较低，但仍建议升级。

修复版本

官方已发布修复版本：

• React：19.0.1、19.1.2、19.2.1
• Next.js：15.0.5、15.1.9、15.2.6、15.3.6、15.4.8、15.5.7、16.0.7

站长紧急操作指南

1. 检查是否受影响

首先确认你的项目是否使用了受影响的版本：

# 检查Next.js版本
cat node_modules/next/package.json | grep version

# 检查React版本
cat node_modules/react/package.json | grep version

2. 升级Next.js

# 使用npm
npm install next@latest react@latest react-dom@latest

# 使用yarn
yarn add next@latest react@latest react-dom@latest

# 使用pnpm
pnpm add next@latest react@latest react-dom@latest

3. 检查是否有被入侵迹象

如果无法立即升级，建议检查以下内容：

• 服务器日志中是否有异常的Server Function调用
• 是否有未知进程在服务器上运行
• 文件系统中是否有新增的可疑文件
• 数据库中是否有异常数据

4. 临时缓解措施

如果暂时无法升级，可以考虑：

• 在WAF（Web应用防火墙）中添加规则，限制Server Function的访问
• 暂时禁用不必要的Server Functions
• 加强服务器的访问控制和监控

安全工具推荐

社区已经发布了检测工具，可以扫描升级后是否仍有恶意代码残留。建议在升级后运行一次完整的安全扫描。

总结

这个漏洞再次提醒我们，使用前沿框架虽然能获得更好的开发体验，但也需要密切关注安全更新。作为站长，建议：

• 订阅框架的安全公告（GitHub Security Advisories）
• 定期检查依赖版本，及时更新
• 在生产环境中使用WAF等安全防护
• 做好数据备份，以防万一

本文参考来源：Wiz Blog: Critical RCE Vulnerabilities in React and Next.js、GitHub Advisory GHSA-9qr9-h5gf-34mp