BDU:2025-15156 | Уязвимость функции requireModule() пакетов react-s

📄 Описание

Уязвимость функции requireModule() пакетов react-server-dom-webpack, react-server-dom-parcel и react-server-dom-turbopack JavaScript библиотеки построения пользовательских интерфейсов React связана с недостатками механизма десериализации при обработке параметра hasOwnProperty. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного HTTP-запроса

🖥️ Уязвимое ПО

Meta Platforms Inc, Vercel, Сообщество свободного программного обеспечения, The Vac Research Collective, Expo Software, Inc., RedwoodJS Core Team

Наименование ПО: react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack, Next.js, React Router, Waku, React, Expo, Redwood SDK

Версия ПО: до 19.0.1 (react-server-dom-webpack), до 19.1.2 (react-server-dom-webpack), до 19.2.1 (react-server-dom-webpack), до 19.0.1 (react-server-dom-parcel), до 19.1.2 (react-server-dom-parcel), до 19.2.1 (react-server-dom-parcel), до 19.0.1 (react-server-dom-turbopack), до 19.1.2 (react-server-dom-turbopack), до 19.2.1 (react-server-dom-turbopack), до 15.0.5 (Next.js), до 15.1.9 (Next.js), до 15.2.6 (Next.js), до 15.3.6 (Next.js), до 15.4.8 (Next.js), до 15.5.7 (Next.js), до 16.0.7 (Next.js), - (React Router), - (Waku), до 14.3.0-canary.77 включительно (Next.js), - (React), - (Expo), до 1.0.0-alpha.0 (Redwood SDK)

Тип ПО: Прикладное ПО информационных систем, Сетевое программное средство

ОС / платформа: —

⚙️ Технические сведения

Тип ошибки

Восстановление в памяти недостоверных данных (CWE-502)

Класс уязвимости

Уязвимость кода

Дата выявления

03.12.2025

Способ эксплуатации

Манипулирование структурами данных

Способ устранения

Обновление программного обеспечения

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Устранение

Уязвимость устранена

📊 CVSS

CVSS 2.0

AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 3.0

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

⚠️ Уровень опасности

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 10)

🔗 Источники и меры

🔗 https://react.dev/versions#react-19 🔗 https://react.dev/blog/2025/12/03/critical-securit... 🔗 https://nextjs.org/blog/CVE-2025-66478 🔗 https://github.com/Ashwesker/Blackash-CVE-2025-551... 🔗 https://github.com/fatguru/CVE-2025-55182-scanner 🔗 https://github.com/sickwell/CVE-2025-55182 🔗 https://github.com/ejpir/CVE-2025-55182-poc 🔗 https://www.cisa.gov/sites/default/files/csv/known... 🔗 https://www.bleepingcomputer.com/news/security/hac...

🏷️ Идентификаторы

CVE-2025-55182

📅 Даты

Дата публикации

04.12.2025

Последнее обновление

06.05.2026

Детали уязвимости