CVE-2025-55182: Vulnerabilidad en React Server Components

Se ha revelado de forma responsable una vulnerabilidad critica en React Server Components (CVE-2025-55182). Esta vulnerabilidad permite ejecucion remota de codigo (RCE) sin autenticacion y afecta a React 19 y a los frameworks que lo utilizan, incluido Next.js (CVE-2025-66478).

Puntos Clave

1. Criticidad Máxima: CVSS 9.8/10. Permite toma de control total del servidor.
2. Vector de Ataque: Peticiones HTTP POST con payloads Flight maliciosos (Prototype Pollution).
3. Solución Única: Actualizar dependencias next, react, y react-dom a sus versiones parcheadas.
4. Mitigación: WAFs tradicionales pueden no detectar el payload serializado.

Análisis Técnico Profundo: "React2Shell"

conocida en la comunidad de seguridad como "React2Shell", esta vulnerabilidad (CVE-2025-55182) reside en el corazón de la arquitectura de React Server Components: el protocolo de serialización Flight.

La Raíz del Problema: Deserialización Insegura

El protocolo Flight está diseñado para transmitir árboles de componentes de React desde el servidor al cliente (y viceversa mediante Server Actions). Para lograr esto, serializa estructuras de datos complejas, incluyendo promesas y referencias a objetos.

La vulnerabilidad surge porque el parser de Flight en versiones afectadas de react-server-dom-* realiza una deserialización insegura de objetos controlados por el usuario. Específicamente, no valida adecuadamente las claves de los objetos durante la reconstrucción del árbol de datos.

Mecanismo de Ataque: Prototype Pollution

Un atacante puede enviar una petición HTTP POST a un endpoint RSC (comúnmente una Server Action o el renderizado inicial) inyectando propiedades especiales como __proto__ o constructor en el payload serializado.

1. Inyección: El atacante envía un payload Flight manipulado.
2. Polución: Al deserializar, el servidor sobrescribe métodos fundamentales del prototipo Object en el contexto de ejecución de Node.js.
3. Ejecución (RCE): Mediante "gadgets" internos o abusando de la lógica de la aplicación (Logic Abuse), el atacante redirige el flujo de ejecución para invocar child_process.exec o similares.

¿Por qué es "Zero-Click"?

A diferencia de vulnerabilidades XSS que requieren que una víctima visite un enlace, este ataque se realiza directamente contra el servidor. Cualquier endpoint expuesto de Next.js (App Router) que procese peticiones RSC es un vector de entrada potencial, sin necesidad de autenticación previa.

Versiones Afectadas

Next.js

React

Otros Frameworks

Cualquier framework que utilice React Server Components con React 19 puede estar afectado, incluyendo:

• Waku: Verificar version de React
• Remix (con RSC experimental): Verificar configuracion
• Implementaciones personalizadas de RSC: Altamente probable que esten afectadas

Plan de Acción

Paso 1: Identificar tu version actual

1# Para Next.js
2npm list next
3# o
4cat package.json | grep next
5
6# Para React
7
8npm list react

Paso 2: Actualizar dependencias

Opcion A: Actualizar a la ultima version parcheada de tu rama

1# Si estas en Next.js 15.5.x
2npm install [email protected]
3
4# Si estas en Next.js 16.x
5
6npm install [email protected]

Opcion B: Actualizar package.json manualmente

1{
2"dependencies": {
3  "next": "15.5.7",
4  "react": "19.1.2",
5  "react-dom": "19.1.2"
6}
7}

Luego ejecutar:

1npm install

Paso 3: Verificar la actualizacion

1npm list next react react-dom

Paso 4: Redesplegar la aplicacion

Asegurate de redesplegar la aplicacion en todos los entornos:

• Desarrollo
• Staging/QA
• Produccion

Mitigacion temporal (si no puedes actualizar inmediatamente)

Si por alguna razon no puedes actualizar inmediatamente, considera estas mitigaciones temporales:

1. WAF (Web Application Firewall): Configura reglas para bloquear peticiones con Content-Type text/x-component de origenes no confiables

2. Deshabilitar RSC temporalmente: Si tu aplicacion no depende criticamente de Server Components, considera deshabilitarlos temporalmente

3. Limitar acceso: Restringe el acceso a la aplicacion solo a IPs conocidas mientras aplicas el parche

Importante: Estas mitigaciones son temporales. La unica solucion definitiva es actualizar a una version parcheada.

Como Detectar si tu Sitio es Vulnerable

Verificacion manual

Revisa las versiones en tu package.json y package-lock.json (o pnpm-lock.yaml).

Verificacion automatizada

Hemos actualizado nuestro escaner gratuito para detectar automaticamente si tu sitio web esta corriendo una version vulnerable de Next.js.

Indicadores de Compromiso (IoC)

Si sospechas que tu aplicacion pudo haber sido explotada, busca los siguientes indicadores:

En logs del servidor

• Peticiones POST inusuales a rutas de Next.js (/_next/...)
• Content-Type text/x-component en peticiones de origenes desconocidos
• Errores de deserializacion seguidos de comportamiento anomalo

En el sistema

• Procesos hijos inesperados del proceso Node.js
• Conexiones de red salientes a IPs desconocidas
• Archivos modificados recientemente en directorios del servidor
• Nuevos usuarios o claves SSH agregadas

Comandos utiles para investigacion

1# Revisar procesos hijos de Node
2ps aux | grep node
3
4# Revisar conexiones de red
5
6netstat -tuln | grep node
7
8# o
9
10lsof -i -P | grep node
11
12# Revisar archivos modificados recientemente
13
14find /ruta/aplicacion -mtime -1 -type f

Cronologia del Incidente

Recomendaciones Adicionales

1. Monitoreo continuo: Implementa alertas para detectar intentos de explotacion
2. Actualizaciones regulares: Mantente al dia con las actualizaciones de seguridad
3. Escaneo de dependencias: Usa herramientas como npm audit o Vulnerabbit para monitoreo continuo
4. Plan de respuesta: Ten un plan documentado para responder a vulnerabilidades criticas

Preguntas Frecuentes (FAQ)

¿Estoy afectado si uso el Pages Router?

No, esta vulnerabilidad afecta especificamente al App Router y a React Server Components. Si tu aplicacion utiliza exclusivamente Pages Router y no implementa Server Actions o Server Components, el riesgo es mitigado, aunque se recomienda actualizar de todas formas.

¿Afecta esto a aplicaciones creadas con Create React App?

Solo si has migrado a React 19 y estas utilizando una implementacion personalizada de Server Components. Las aplicaciones SPA client-side tradicionales no utilizan el protocolo Flight de la misma manera.

¿Como puedo simular el ataque para probar mis defensas?

No recomendamos realizar pruebas de explotacion en entornos de produccion. Utiliza un entorno de sandbox y herramientas de escaneo de seguridad autorizadas como Vulnerabbit para verificar tu postura de seguridad sin riesgo.

Referencias y Mas Informacion

• CVE-2025-55182 en CVE.org
• Aviso de Seguridad de Next.js (GHSA-9qr9-h5gf-34mp)
• Blog de Next.js sobre CVE-2025-66478
• Changelog de Vercel
• React Security Releases

Este articulo sera actualizado conforme surja nueva informacion sobre la vulnerabilidad. Ultima actualizacion: 4 de diciembre de 2025.