Vulnérabilité dans React Server Components
Une gestion de version détaillée se trouve à la fin de ce document.
Le CERT-FR a connaissance de preuves de concept publiques pour cette vulnérabilité.
Le 3 décembre 2025, React a publié un avis de sécurité relatif à la vulnérabilité CVE-2025-55182 affectant React Server Components et qui permet une exécution de code arbitraire à distance pour un utilisateur non-authentifié. L'éditeur de Next.js a également publié un avis de sécurité faisant référence à l'identifiant CVE-2025-66478. Cet identifiant a été rejeté en raison du doublon avec l'identifiant utilisé par React. Cette faille de sécurité est également connue sous le nom de "React2Shell".
L'essentiel
- Le 3 décembre 2025, React a publié un avis de sécurité relatif à la vulnérabilité CVE-2025-55182 affectant React Server Components et qui permet une exécution de code arbitraire à distance pour un utilisateur non-authentifié.
Faits relevés dans le texte officiel cité ci-dessus (Extrait du communiqué officiel — ANSSI, Licence Ouverte).
Quelles publications couvrent ce sujet ?
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
L'extrait cité en tête d'article est le texte officiel d'ouverture de la publication source, reproduit sans modification parce que son émetteur l'autorise expressément (Extrait du communiqué officiel — ANSSI, Licence Ouverte). Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.