Investigadores de seguridad han encontrado y revelado
dos vulnerabilidades adicionales en Componentes de Servidor React al
intentar explotar los parches de la vulnerabilidad crítica de la semana
pasada.
Cuando se revela una vulnerabilidad crítica, los investigadores examinan las
rutas de código adyacentes en busca de técnicas de explotación variantes para
comprobar si se puede eludir la mitigación inicial. De esta forma se
encontraron las nuevas fallas.
Estas nuevas vulnerabilidades están presentes en los mismos paquetes y
versiones que CVE-2025-55182 (React2Shell). Esto incluye las versiones 19.0.0, 19.0.1, 19.0.2, 19.1.0, 19.1.1, 19.1.2,
19.1.2, 19.2.0, 19.2.1 y 19.2.2
NOTA: estas nuevas vulnerabilidades no permiten la ejecución
remota de código y el parche para
React2Shell
de la semana pasada sigue siendo eficaz para mitigar esa vulnerabilidad pero
no son efectivos para estos nuevos hallazgos.
Es decir, si ya se actualizó para la vulnerabilidad crítica de la semana
pasada, se debe hacerlo de nuevo. Si se actualizó a las versiones 19.0.2,
19.1.3 y 19.2.2, estas están incompletas y se deberá actualizar de nuevo.
Las correcciones se incorporaron a las versiones 19.0.3, 19.1.4 y 19.2.3.
Si utiliza alguno de los paquetes mencionados, actualice a cualquiera de las
versiones corregidas inmediatamente.
Como antes, si el código React de su aplicación no utiliza un servidor, su
aplicación no se verá afectada por estas vulnerabilidades. Si su aplicación no
utiliza un framework, un paquete o un complemento de paquete compatible con
los componentes de servidor de React, su aplicación no se verá afectada por
estas vulnerabilidades.
Algunos frameworks y bundlers que dependen de React dependían,
incluyen los paquetes de React vulnerables. Los siguientes frameworks y
bundlers de React están afectados:
next,
react-router,
waku,
@parcel/rsc,
@vite/rsc-plugin,
and rwsdk.
Se pueden consultar las instrucciones de la
publicación anterior
para conocer los pasos de actualización.
React Native
Para los usuarios de React Native que no usan un monorepo o
react-dom, la versión de React debe estar anclada en el
package.json y no se requieren pasos adicionales.
Si se usa React Native en un monorepo, se deben actualizar solo los
paquetes afectados si están instalados:
- react-server-dom-webpack
- react-server-dom-parcel
- react-server-dom-turbopack
Esto es necesario para mitigar los avisos de seguridad, pero no es necesario
actualizar react ni react-dom, por lo que no causará el error de
discrepancia de versiones en React Native.
Consulte
este problema
para obtener más información.
Denegación de servicio
Investigadores de seguridad han descubierto que una solicitud HTTP maliciosa
puede crearse y enviarse a cualquier punto final de Server Functions. Esta
solicitud, al ser deserializada por React, puede causar un bucle infinito que
bloquea el proceso del servidor y consume CPU. Incluso si la aplicación no
implementa ningún punto final de React Server Function, podría ser vulnerable
si es compatible con React Server Components.
Esto crea un vector de vulnerabilidad donde un atacante podría denegar a los
usuarios el acceso al producto y, potencialmente, afectar el rendimiento del
entorno del servidor.
El error original fue identificado como CVE-2025-55184 (PoC) pero la corrección que abordaba el ataque de denegación de servicio
(DoS) estaba incompleta. Esto dejó vulnerables las versiones 19.0.2, 19.1.3 y
19.2.2. Las versiones 19.0.3, 19.1.4 y 19.2.3 son seguras.
Se han corregido los casos adicionales y presentado la solicitud
CVE-2025-67779
(CVSS 7,5) para las versiones vulnerables. Los parches publicados hoy
mitigan esta vulnerabilidad evitando el bucle infinito.
Exposición del código fuente
Un investigador de seguridad ha descubierto que una solicitud HTTP maliciosa
enviada a una función de servidor vulnerable puede devolver de forma insegura
el código fuente de cualquier función de servidor. La explotación requiere la
existencia de una función de servidor que exponga, explícita o implícitamente,
un argumento en cadena:
Se ha asignado el
CVE-2025-55183
(CVSS 5.3) y los parches publicados hoy impiden la conversión en cadenas del
código fuente de la Función de Servidor.
«Solo» se pueden exponer los secretos del código fuente. Los secretos
codificados en el código fuente pueden exponerse, pero los secretos de tiempo
de ejecución, como process.env.SECRET, no se ven afectados.
Fuente:
React