【译】React 服务器组件中的关键安全漏洞
原文中文，约3200字，阅读约需8分钟。
📝
内容提要
React 服务器组件存在未认证的远程代码执行漏洞（CVE-2025-55182），影响版本为19.0至19.2.0。攻击者可通过恶意请求执行任意代码。建议立即升级至安全版本19.0.1、19.1.2或19.2.1。
🔎
延伸解读
漏洞影响范围
此次漏洞影响的版本包括 React 19.0 至 19.2.0，任何启用了 React 服务器组件的项目都可能面临风险。即使未实现 Server Function，只要启用 RSC，就可能被攻击者利用。开发者需特别关注所使用的框架和工具，确保其版本安全。
紧急修复措施
React 团队已发布安全版本 19.0.1、19.1.2 和 19.2.1，建议所有受影响的项目立即升级。对于使用 canary 版本的用户，建议降级至最新稳定版，以避免潜在风险。务必在升级后监控服务器日志，确保没有可疑活动。
安全意识的重要性
此次漏洞的发现和修复过程强调了安全研究员在技术生态中的重要角色。开发者应定期检查和更新依赖项，保持对安全公告的关注，以防止类似漏洞的发生。安全无小事，及时的响应和修复是保障用户数据安全的关键。
❓
Q&A
React 服务器组件的漏洞是什么？
React 服务器组件存在未认证的远程代码执行漏洞（CVE-2025-55182），攻击者可通过恶意请求执行任意代码。
哪些版本的 React 受到此漏洞影响？
受影响的版本包括 19.0、19.1.0、19.1.1 和 19.2.0。
如何修复这个漏洞？
建议立即升级至安全版本 19.0.1、19.1.2 或 19.2.1。
这个漏洞的影响范围有多大？
只要启用了 RSC 能力，项目就可能处于风险中，即使未实现任何 React Server Function。
漏洞是何时被发现和披露的？
漏洞于 11 月 29 日被报告，12 月 3 日正式披露。
哪些框架和工具受此漏洞影响？
受影响的框架包括 Next.js、React Router 和 Waku 等。
🏷️
