Уязвимость функции requireModule() пакетов react-server-dom-webpack, react-server-dom-parcel и react-server-dom-turbopack JavaScript библиотеки построения пользовательских интерфейсов React связана с недостатками механизма десериализации при обработке параметра hasOwnProperty. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного HTTP-запроса
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование нестандартных сетевых портов для доступа к серверу React (по умолчанию 3002);
- использование межсетевого экрана уровня приложений (WAF) для фильтрации сетевого трафика;
- ограничение возможности непривилегированных пользователей загружать файлы на сервер React;
- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;
- использование SIEM-систем для отслеживания событий, связанных с вызовом функции runInThisContext();
- использование систем обнаружения и предотвращения вторжений для отслеживания индикаторов компрометации для попыток эксплуатации уязвимости.
Использование рекомендаций производителя:
Для React:
https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
Для Next.js:
https://nextjs.org/blog/CVE-2025-66478
| Балл | 10 — критическая опасность |