freeCodeCamp.org
·
React的关键“React2Shell”漏洞——您需要了解的内容以及如何升级您的应用
内容提要
React Server Components（RSC）存在安全漏洞（CVE-2025-55182），攻击者可利用该漏洞执行恶意代码。使用NextJS App Router或React 19的开发者需立即更新到安全版本，以防止数据泄露和服务器控制。建议更换所有应用密钥并审查日志以确保安全。
关键要点
-
React Server Components（RSC）存在安全漏洞（CVE-2025-55182），攻击者可利用该漏洞执行恶意代码。
-
使用NextJS App Router或React 19的开发者需立即更新到安全版本，以防止数据泄露和服务器控制。
-
漏洞允许攻击者发送特制的HTTP请求，迫使服务器执行恶意代码。
-
React的复杂序列化和'Flight'协议导致了该漏洞的出现。
-
如果使用NextJS App Router（v13+）或启用Server Components的React 19版本，需立即采取行动。
-
攻击者可以窃取环境变量、获得Shell访问、进行横向移动、污染供应链和招募僵尸网络。
-
必须更新依赖项到已修补的NextJS和React版本，以解决该漏洞。
-
建议在修补版本后更换所有应用密钥，并审查日志以确保安全。
-
如果怀疑服务器已被攻击，需立即隔离并关闭服务器，旋转所有密钥，并重建服务器。
延伸解读
漏洞影响的广泛性
React2Shell漏洞不仅影响使用NextJS App Router或React 19的开发者，任何依赖于React Server Components的应用都可能面临风险。攻击者可以通过此漏洞获取服务器的完全控制权，导致数据泄露和服务中断。因此，开发者应全面审视其应用架构，确保所有相关组件都已更新到安全版本。
应急响应措施
如果怀疑服务器已被攻击，立即采取应急响应措施至关重要。首先，需隔离并关闭受影响的服务器，随后更换所有应用密钥，确保攻击者无法利用已窃取的信息。重建服务器而非简单清理，可以有效防止潜在的后门存在，确保系统安全。
更新的重要性
及时更新到已修补的NextJS和React版本是防止React2Shell漏洞被利用的关键。开发者应定期检查依赖项的版本，并在发布新版本时确保使用最新的安全补丁。此外，使用自动化工具如npx fix-react2shell-next可以简化更新过程，降低人为错误的风险。
延伸问答
React2Shell漏洞是什么？
React2Shell漏洞（CVE-2025-55182）是一个安全漏洞，攻击者可以通过特制的HTTP请求执行恶意代码，导致数据泄露和服务器控制。
哪些开发者需要立即更新他们的应用？
使用NextJS App Router（v13+）或启用Server Components的React 19版本的开发者需要立即更新到安全版本。
攻击者可以通过这个漏洞做什么？
攻击者可以窃取环境变量、获得Shell访问、进行横向移动、污染供应链和招募僵尸网络。
如何修复React2Shell漏洞？
必须更新依赖项到已修补的NextJS和React版本，具体版本包括NextJS 15.1.9及以上和React 19.1.2及以上。
如果怀疑服务器已被攻击，应该怎么做？
立即隔离并关闭服务器，旋转所有密钥，并重建服务器，确保不留后门。
React2Shell漏洞是如何产生的？
该漏洞源于React复杂的序列化和'Flight'协议对客户端输入过于信任的处理方式。
