Mobile-Menu

Remote Code Execution und CVSS 10.0 React Schwachstelle öffnet Angreifern den Weg zu Web-Apps

Von Melanie Staudacher 3 min Lesedauer

Eine kritische Sicherheitslücke in React-Server-Komponenten ermöglicht die Ausführung von Schadcode und Systemübernahme, was zahlreiche An­wendungen inklusive Next.js-Apps gefährdet.

Nutzen Cyberangreifer die Schwachstelle CVE‑2025‑55182 erfolgreich aus, können sie serverseitig Code ausführen, Web‑Apps übernehmen, Daten und Secrets abziehen, Backdoors oder Ransomware platzieren und sich über betroffene Next.js‑App‑Router seitlich in weitere Systeme ausbreiten.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
Nutzen Cyberangreifer die Schwachstelle CVE‑2025‑55182 erfolgreich aus, können sie serverseitig Code ausführen, Web‑Apps übernehmen, Daten und Secrets abziehen, Backdoors oder Ransomware platzieren und sich über betroffene Next.js‑App‑Router seitlich in weitere Systeme ausbreiten.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Eine Sicherheitslücke in den React-Server-Komponenten (RSC) sorgt derzeit für Aufruhr. Die Schwachstelle CVE-2025-55182 hat den höchstmöglichen CVSS-Score von 10.0 erhalten und kann zur Remote-Code-Ausführung führen. React ist eine JavaScript-Bibliothek zum Bauen von Benutzeroberflächen, die als Open-Source-Projekt vom React-Team bei Meta entwickelt und gepflegt wird. Darauf basiert das Framework Next.js, das diverse Optimierungs- und Deploy­ment-Funktionen mitbringt. Somit sind nicht nur Anwendungen, die RSC verwenden, anfällig, sondern auch Next.js‑Apps mit App Router, der RSC nutzt und den betroffenen Flight‑Endpunkt bereitstellt. Softwareentwickler sollten umgehend ihre JavaScript-Bibliotheken auf die Ver­sio­nen 19.0.1, 19.1.2 oder 19.2.1 aktualisieren, damit Cyber­kriminelle CVE-2025-55182 nicht ausnutzen und im schlimmsten Falle Systeme kompromittieren oder übernehmen können.

Diese kritische Schwachstelle in einem solch weit verbreiteten Softwarebaustein kann Un­ter­neh­mensökosysteme sowie Partnerlieferketten einer großen Gefahr aussetzen, da sie sich über Implementierungen wie den Next.js App Router und zugehörige Bundler‑Plugins transitiv in viele Anwendungen fortpflanzt und dort Remote‑Code‑Ausführung ermöglicht.

Betroffene Pakete, Frameworks und Bundler

In der eigenen Sicherheitsmeldung berichtet das React-Team, dass CVE-2025-55182 am 29. November 2025 von einem Sicherheitsforscher gemeldet wurde. Ursache der Schwachstelle ist die Art und Weise, wie React Nutzdaten dekodiert, die an React-Server-Function-Endpunkte gesendet wurden. Dadurch könnte ein nicht authentifizierter Angreifer eine schädliche HTTP-Anfrage an einen beliebigen Endpunkt senden. Die Anfrage würde nach der Deserialisierung durch React die Ausführung von Remote-Code auf dem Server ermöglichen.

Davon betroffen sind die Versionen 19.0, 19.1.0, 19.1.1 und 19.2.0. Anfällig sind folgende React-Pakete:

  • react-server-dom-webpack
  • react-server-dom-parcel
  • react-server-dom-turbopack

Und auch diese Frameworks und Bundler sind anfällig:

  • next
  • react-router
  • waku
  • @parcel/rsc
  • @vitejs/plugin-rsc
  • rwsdk

React-Code, der keinen Server verwendet, ist den Entwicklern zufolge nicht betroffen. Auch Anwendungen, die kein Framework, keinen Bundler und kein Bundler-Plugin, das RSC un­ter­stützt, nutzen, sind nicht betroffen. Mit den Versionen 19.0.1, 19.1.2 oder 19.2.1 schließt React CVE-2025-55182.

Zudem liefert React eine Liste aller betroffenen Ökosysteme, ihre konkreten Zielversionen und npm‑Befehle, damit Teams die Updates möglichst effizient ausrollen können. Die Infor­ma­tio­nen haben wir in dieser Tabelle übersichtlich zusammengefasst:

Projekt/Scope Aktion npm-Befehl(e)
Next.js (15.0.x) Update auf gepatchte Version npm install next@15.0.5
Next.js (15.1.x) Update auf gepatchte Version npm install next@15.1.9
Next.js (15.2.x) Update auf gepatchte Version npm install next@15.2.6
Next.js (15.3.x) Update auf gepatchte Version npm install next@15.3.6
Next.js (15.4.x) Update auf gepatchte Version npm install next@15.4.8
Next.js (15.5.x) Update auf gepatchte Version npm install next@15.5.7
Next.js (16.0.x) Update auf gepatchte Version npm install next@16.0.7
Next.js (14 canary ≥ 14.3.0‑canary.77) Downgrade auf stabile 14.x npm install next@14
React Router (unstable RSC APIs) Relevante Pakete aktualisieren npm install react@latest react-dom@latest react-server-dom-parcel@latest react-server-dom-webpack@latest @vitejs/plugin-rsc@latest
Expo RSC/Webpack‑Integration aktualisieren npm install react@latest react-dom@latest react-server-dom-webpack@latest
Redwood SDK (SDK ≥ 1.0.0‑alpha.0) SDK-Version aktualisieren npm install rwsdk@latest
Redwood SDK (RSC/Webpack) RSC/Webpack‑Integration aktualisieren npm install react@latest react-dom@latest react-server-dom-webpack@latest
Waku Framework und RSC/Webpack aktualisieren npm install react@latest react-dom@latest react-server-dom-webpack@latest waku@latest
@vitejs/plugin‑rsc Plugin und React aktualisieren npm install react@latest react-dom@latest @vitejs/plugin-rsc@latest
react-server-dom-parcel Paket und React aktualisieren npm install react@latest react-dom@latest react-server-dom-parcel@latest
react-server-dom-turbopack Paket und React aktualisieren npm install react@latest react-dom@latest react-server-dom-turbopack@latest
react-server-dom-webpack Paket und React aktualisieren npm install react@latest react-dom@latest react-server-dom-webpack@latest

(ID:50649880)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte