JVNVU#91640936
React Server Componentsにおける信頼できないデータのデシリアライゼーションの脆弱性
緊急

React Server Componentsには、信頼できないデータのデシリアライゼーションの脆弱性が存在します。

React

• react-server-dom-webpack 
  • 19.0.1より前の19.0系
  • 19.1.2より前の19.1系
  • 19.2.1より前の19.2系
• react-server-dom-parcel
  • 19.0.1より前の19.0系
  • 19.1.2より前の19.1系
  • 19.2.1より前の19.2系
• react-server-dom-turbopack
  • 19.0.1より前の19.0系
  • 19.1.2より前の19.1系
  • 19.2.1より前の19.2系

• Next.js
  • Next.js 16.0.7より前
  • Next.js 15.5.7より前
  • Next.js 15.4.8より前
  • Next.js 15.3.6より前
  • Next.js 15.2.6より前
  • Next.js 15.1.9より前
  • Next.js 15.0.5より前
  • Next.js 14.3.0-canary.77およびそれ以降のcanaryリリース
• next
• react-router
• waku
• @parcel/rsc
• @vitejs/plugin-rsc
• rwsdk

React Server Componentsには、信頼できないデータのデシリアライゼーション（CWE-502、CVE-2025-55182）の脆弱性が存在します。

JPCERT/CCでは、本脆弱性の概念実証コード（PoC）がインターネットに公開されていることと、悪用を試行する通信を確認しています。

遠隔の攻撃者が細工されたHTTPリクエストをReact Server Componentsを処理するサーバに送信した場合、認証無しで任意のコードを実行される可能性があります。

アップデートする
各開発者が提供する情報をもとに、最新版にアップデートしてください。