Thực thi mã từ xa trong giao thức React Flight (React Server Components)
Tiêu đề gốc: Next.js is vulnerable to RCE in React flight protocol
Chuyện gì xảy ra
Lỗ hổng nằm trong các gói React Server Components (react-server-dom-webpack, react-server-dom-turbopack, react-server-dom-parcel) bản 19.0.0, 19.1.0, 19.1.1 và 19.2.0, và trong các framework dùng chúng, gồm Next.js 15.x và 16.x với App Router. Kẻ tấn công không cần đăng nhập. CVSS 10, mức cao nhất.
Ai bị ảnh hưởng
- Next.js 15.x và 16.x dùng App Router (thư mục
app/). - Các bản canary từ
14.3.0-canary.77.
Bản bị ảnh hưởng và bản vá
| Bản bị ảnh hưởng | Bản vá |
|---|---|
>= 14.3.0-canary.77, < 15.0.5 | 15.0.5 |
>= 15.2.0-canary.0, < 15.2.6 | 15.2.6 |
>= 15.3.0-canary.0, < 15.3.6 | 15.3.6 |
>= 15.4.0-canary.0, < 15.4.8 | 15.4.8 |
>= 16.0.0-canary.0, < 16.0.7 | 16.0.7 |
>= 15.1.0-canary.0, < 15.1.9 | 15.1.9 |
>= 15.5.0-canary.0, < 15.5.7 | 15.5.7 |
Cách xử lý
- Nâng Next.js lên bản vá đúng nhánh trong bảng dưới. Phía React, bản sửa là 19.0.1, 19.1.2 và 19.2.1.
- Đang dùng canary 14.3: hạ về bản 14.x ổn định hoặc
14.3.0-canary.76.
Tự kiểm tra
- Chạy
npm ls next react-server-dom-webpackvà so với bảng dưới. - Dự án có thư mục
app/là đang dùng App Router.
Nguồn
- GitHub Advisory Database GHSA-9qr9-h5gf-34mp
- vercel/next.js GHSA-9qr9-h5gf-34mp
- facebook/react GHSA-fv66-9v8q-g76r
- NVD CVE-2025-55182
Viết lại từ cảnh báo gốc; phiên bản lấy từ GitHub Advisory Database (CC-BY-4.0), cập nhật 29/10/2026. Khi có khác biệt, cảnh báo gốc là chuẩn.