Eine kritische Sicherheitslücke in React Server Components erlaubt Angreifern, ohne Anmeldung Code auf betroffenen Servern auszuführen. Das React-Team hat CVE-2025-55182 am 3. Dezember 2025 öffentlich gemacht und mit dem maximalen CVSS-Wert 10,0 eingestuft.
Betroffen sind react-server-dom-webpack, react-server-dom-parcel und react-server-dom-turbopack in den Versionen 19.0, 19.1.0, 19.1.1 und 19.2.0. Nach der Sicherheitsmeldung des React-Teams liegt der Fehler beim Verarbeiten von Daten, die an Server-Function-Endpunkte geschickt werden.
Updates schließen die gemeldete Lücke
Die Korrektur für CVE-2025-55182 steckt in 19.0.1, 19.1.2 und 19.2.1. Auch Projekte mit unterstützenden Frameworks und Bundlern können betroffen sein, darunter Next.js, React Router, Waku und Redwood SDK. Selbst ohne selbst angelegte Server Functions kann die Unterstützung von Server Components für eine Verwundbarkeit ausreichen.
Anwendungen, deren React-Code keinen Server nutzt oder die kein Framework, keinen Bundler und kein Plugin mit Server-Components-Unterstützung einsetzen, sind laut React von dieser Lücke nicht betroffen. Das Team rät betroffenen Projekten zum sofortigen Update; vorläufige Schutzmaßnahmen der Hosting-Anbieter ersetzen es nicht.
Titelbild: React.