Nuevas vulnerabilidades en React Server Components

Nuevas Vulnerabilidades en Componentes del Servidor de React Permiten Ataques de Denegación de Servicio y Filtraciones de Código Fuente Menos de una semana después de solucionar una vulnerabilidad crítica de Ejecución Remota de Código (RCE), el equipo de React ha revelado tres fallos de seguridad adicionales que afectan a los Componentes del Servidor de React (RSC). Investigadores de seguridad descubrieron estos nuevos problemas mientras intentaban eludir las mitigaciones para el exploit anterior “React2Shell”. 

Investigadores de seguridad han encontrado y revelado dos vulnerabilidades adicionales en Componentes de Servidor React al intentar explotar los parches de la vulnerabilidad crítica de la semana pasada.

Cuando se revela una vulnerabilidad crítica, los investigadores examinan las rutas de código adyacentes en busca de técnicas de explotación variantes para comprobar si se puede eludir la mitigación inicial. De esta forma se encontraron las nuevas fallas.

Estas nuevas vulnerabilidades están presentes en los mismos paquetes y versiones que CVE-2025-55182 (React2Shell). Esto incluye las versiones 19.0.0, 19.0.1, 19.0.2, 19.1.0, 19.1.1, 19.1.2, 19.1.2, 19.2.0, 19.2.1 y 19.2.2

NOTA: estas nuevas vulnerabilidades no permiten la ejecución remota de código y el parche para React2Shell de la semana pasada sigue siendo eficaz para mitigar esa vulnerabilidad pero no son efectivos para estos nuevos hallazgos. 

Es decir, si ya se actualizó para la vulnerabilidad crítica de la semana pasada, se debe hacerlo de nuevo. Si se actualizó a las versiones 19.0.2, 19.1.3 y 19.2.2, estas están incompletas y se deberá actualizar de nuevo.

Las correcciones se incorporaron a las versiones 19.0.3, 19.1.4 y 19.2.3. Si utiliza alguno de los paquetes mencionados, actualice a cualquiera de las versiones corregidas inmediatamente.

Como antes, si el código React de su aplicación no utiliza un servidor, su aplicación no se verá afectada por estas vulnerabilidades. Si su aplicación no utiliza un framework, un paquete o un complemento de paquete compatible con los componentes de servidor de React, su aplicación no se verá afectada por estas vulnerabilidades.

Algunos frameworks y bundlers que dependen de React dependían, incluyen los paquetes de React vulnerables. Los siguientes frameworks y bundlers de React están afectados: next, react-router, waku, @parcel/rsc, @vite/rsc-plugin, and rwsdk.

Se pueden consultar las instrucciones de la publicación anterior para conocer los pasos de actualización.

React Native

Para los usuarios de React Native que no usan un monorepo o react-dom, la versión de React debe estar anclada en el package.json y no se requieren pasos adicionales.

Si se usa React Native en un monorepo, se deben actualizar solo los paquetes afectados si están instalados:

• react-server-dom-webpack
• react-server-dom-parcel
• react-server-dom-turbopack

Esto es necesario para mitigar los avisos de seguridad, pero no es necesario actualizar react ni react-dom, por lo que no causará el error de discrepancia de versiones en React Native.

Consulte este problema para obtener más información.

Denegación de servicio

Investigadores de seguridad han descubierto que una solicitud HTTP maliciosa puede crearse y enviarse a cualquier punto final de Server Functions. Esta solicitud, al ser deserializada por React, puede causar un bucle infinito que bloquea el proceso del servidor y consume CPU. Incluso si la aplicación no implementa ningún punto final de React Server Function, podría ser vulnerable si es compatible con React Server Components.

Esto crea un vector de vulnerabilidad donde un atacante podría denegar a los usuarios el acceso al producto y, potencialmente, afectar el rendimiento del entorno del servidor.

El error original fue identificado como CVE-2025-55184 pero la corrección que abordaba el ataque de denegación de servicio (DoS) estaba incompleta. Esto dejó vulnerables las versiones 19.0.2, 19.1.3 y 19.2.2. Las versiones 19.0.3, 19.1.4 y 19.2.3 son seguras.

Se han corregido los casos adicionales y presentado la solicitud CVE-2025-67779 (CVSS 7,5) para las versiones vulnerables. Los parches publicados hoy mitigan esta vulnerabilidad evitando el bucle infinito.

Exposición del código fuente

Un investigador de seguridad ha descubierto que una solicitud HTTP maliciosa enviada a una función de servidor vulnerable puede devolver de forma insegura el código fuente de cualquier función de servidor. La explotación requiere la existencia de una función de servidor que exponga, explícita o implícitamente, un argumento en cadena:

Se ha asignado el CVE-2025-55183 (CVSS 5.3) y los parches publicados hoy impiden la conversión en cadenas del código fuente de la Función de Servidor.

"Solo" se pueden exponer los secretos del código fuente. Los secretos codificados en el código fuente pueden exponerse, pero los secretos de tiempo de ejecución, como process.env.SECRET, no se ven afectados.

Menos de una semana después de abordar una vulnerabilidad crítica de Ejecución Remota de Código (RCE), el equipo de React ha revelado tres fallos de seguridad adicionales que afectan a los Componentes del Servidor de React (RSC). Investigadores de seguridad descubrieron estos nuevos problemas mientras intentaban eludir las mitigaciones para el exploit anterior “React2Shell”. 

Si bien el parche original de RCE sigue siendo efectivo, las vulnerabilidades recién descubiertas introducen riesgos relacionados con la Denegación de Servicio (DoS) y la exposición no autorizada del código fuente del lado del servidor. El equipo de React enfatiza que las actualizaciones anteriores (versiones 19.0.2, 19.1.3 y 19.2.2) contenían una solución incompleta, lo que requiere una segunda actualización inmediata. El fallo más grave de los nuevos (clasificado como Severidad Alta) implica un vector de Denegación de Servicio. Los investigadores encontraron que una solicitud HTTP maliciosa enviada a un punto final de Funciones del Servidor puede provocar un bucle infinito durante el proceso de deserialización de React. Esto hace que el proceso del servidor se bloquee y consuma los recursos de CPU disponibles, sacando efectivamente la aplicación de línea. Un problema separado de Severidad Media permite a los atacantes manipular las solicitudes HTTP para filtrar el código fuente de las Funciones del Servidor. Si bien los secretos en tiempo de ejecución (como las variables de entorno) permanecen seguros, cualquier secreto codificado o lógica dentro de la función podría quedar expuesta. Las vulnerabilidades se rastrean bajo los siguientes identificadores:

ID de CVE	Tipo de Vulnerabilidad	Severidad	Puntuación CVSS
CVE-2025-55184	Denegación de Servicio	Alta	7.5
CVE-2025-67779	Denegación de Servicio (Omisión de Parche)	Alta	7.5
CVE-2025-55183	Exposición de Código Fuente	Media	5.3

Versiones Afectadas Estas vulnerabilidades afectan a los paquetes react-server-dom-webpack, react-server-dom-parcel y react-server-dom-turbopack. Es probable que los usuarios de frameworks como Next.js, Waku y React Router se vean afectados. Los parches iniciales lanzados a principios de esta semana fueron incompletos. Si actualmente estás ejecutando las versiones 19.0.2, 19.1.3 o 19.2.2, sigues siendo vulnerable al exploit de DoS (CVE-2025-67779). Los desarrolladores deben actualizar a las siguientes versiones “seguras” de inmediato:

• Rama 19.0.x: Actualiza a 19.0.3
• Rama 19.1.x: Actualiza a 19.1.4
• Rama 19.2.x: Actualiza a 19.2.3

El equipo de React señaló que descubrir vulnerabilidades de seguimiento es común después de una divulgación de alto perfil, estableciendo paralelismos con el incidente de Log4Shell, donde la exploración de la comunidad descubrió fallas adyacentes. El crédito por estos descubrimientos corresponde a los investigadores Andrew MacPherson, RyotaK y Shinsaku Nomura.

Se han descubierto nuevas vulnerabilidades en React (versiones 19.0.0-19.2.2) que permiten ataques de denegación de servicio (DoS) (CVE-2025-67779) y exposición del código fuente (CVE-2025-55183). Es crucial actualizar a las versiones 19.0.3, 19.1.4 y 19.2.3, incluso si ya se aplicó el parche anterior para CVE-2025-55182, ya que este no es suficiente. Los frameworks afectados incluyen next, react-router, waku, entre otros.

Fuente: React

Vía:
http://blog.segu-info.com.ar/2025/12/otras-si-otras-vulnerabilidades-en.html
https://cybersecuritynews.com/react-server-components-vulnerabilities/