Otras, sí otras, vulnerabilidades en React, permiten DoS y exposición del código fuente

Investigadores de seguridad han encontrado y revelado dos vulnerabilidades adicionales en Componentes de Servidor React al intentar explotar los parches de la vulnerabilidad crítica de la semana pasada.

Cuando se revela una vulnerabilidad crítica, los investigadores examinan las rutas de código adyacentes en busca de técnicas de explotación variantes para comprobar si se puede eludir la mitigación inicial. De esta forma se encontraron las nuevas fallas.

TL;DR

Estas nuevas vulnerabilidades están presentes en los mismos paquetes y versiones que CVE-2025-55182 (React2Shell). Esto incluye las versiones 19.0.0, 19.0.1, 19.0.2, 19.1.0, 19.1.1, 19.1.2, 19.1.2, 19.2.0, 19.2.1 y 19.2.2.

🧩 CVE-2025-55184 & CVE-2025-67779: permite realizar ataques de denegación de servicio y hacer caer el servicio con una sola solicitud.

🧩 CVE-2025-55183: permite visualizar el código fuente de aplicaciones en React Server Components.

NOTA: estas nuevas vulnerabilidades no permiten la ejecución remota de código y el parche para React2Shell de la semana pasada sigue siendo eficaz para mitigar esa vulnerabilidad pero no son efectivos para estos nuevos hallazgos. 

Se debe actualizar de forma inmediata a las versiones 19.0.3, 19.1.4, or 19.2.3. Es decir, si ya se actualizó para la vulnerabilidad crítica de la semana pasada, se debe hacerlo de nuevo. Si se actualizó a las versiones 19.0.2, 19.1.3 y 19.2.2, estas están incompletas y se deberá actualizar de nuevo.

La gravedad de React2Shell, impulsó a CISA añadirlo a su catálogo de Vulnerabilidades Explotadas Conocidas el viernes pasado, lo que indica la gravedad del incidente. La empresa de seguridad Wiz afirmó haber observado una "rápida ola de explotación oportunista" de la falla, con la gran mayoría de los ataques dirigidos a aplicaciones Next.js conectadas a internet y otras cargas de trabajo en contenedores que se ejecutan en Kubernetes y servicios de nube gestionados.

Las correcciones se incorporaron a las versiones 19.0.3, 19.1.4 y 19.2.3. Si utiliza alguno de los paquetes mencionados, actualice a cualquiera de las versiones corregidas inmediatamente.

Como antes, si el código React de su aplicación no utiliza un servidor, su aplicación no se verá afectada por estas vulnerabilidades. Si su aplicación no utiliza un framework, un paquete o un complemento de paquete compatible con los componentes de servidor de React, su aplicación no se verá afectada por estas vulnerabilidades.

Algunos frameworks y bundlers que dependen de React dependían, incluyen los paquetes de React vulnerables. Los siguientes frameworks y bundlers de React están afectados: next, react-router, waku, @parcel/rsc, @vite/rsc-plugin, and rwsdk.

Se pueden consultar las instrucciones de la publicación anterior para conocer los pasos de actualización.

React Native

Para los usuarios de React Native que no usan un monorepo o react-dom, la versión de React debe estar anclada en el package.json y no se requieren pasos adicionales.

Si se usa React Native en un monorepo, se deben actualizar solo los paquetes afectados si están instalados:

• react-server-dom-webpack
• react-server-dom-parcel
• react-server-dom-turbopack

Esto es necesario para mitigar los avisos de seguridad, pero no es necesario actualizar react ni react-dom, por lo que no causará el error de discrepancia de versiones en React Native.

Consulte este problema para obtener más información.

Denegación de servicio

Investigadores de seguridad han descubierto que una solicitud HTTP maliciosa puede crearse y enviarse a cualquier punto final de Server Functions. Esta solicitud, al ser deserializada por React, puede causar un bucle infinito que bloquea el proceso del servidor y consume CPU. Incluso si la aplicación no implementa ningún punto final de React Server Function, podría ser vulnerable si es compatible con React Server Components.

Esto crea un vector de vulnerabilidad donde un atacante podría denegar a los usuarios el acceso al producto y, potencialmente, afectar el rendimiento del entorno del servidor.

El error original fue identificado como CVE-2025-55184 (PoC) pero la corrección que abordaba el ataque de denegación de servicio (DoS) estaba incompleta. Esto dejó vulnerables las versiones 19.0.2, 19.1.3 y 19.2.2. Las versiones 19.0.3, 19.1.4 y 19.2.3 son seguras.

Se han corregido los casos adicionales y presentado la solicitud CVE-2025-67779 (CVSS 7,5) para las versiones vulnerables. Los parches publicados hoy mitigan esta vulnerabilidad evitando el bucle infinito.

Exposición del código fuente

Un investigador de seguridad ha descubierto que una solicitud HTTP maliciosa enviada a una función de servidor vulnerable puede devolver de forma insegura el código fuente de cualquier función de servidor. La explotación requiere la existencia de una función de servidor que exponga, explícita o implícitamente, un argumento en cadena:

Se ha asignado el CVE-2025-55183 (CVSS 5.3) y los parches publicados hoy impiden la conversión en cadenas del código fuente de la Función de Servidor.

"Solo" se pueden exponer los secretos del código fuente. Los secretos codificados en el código fuente pueden exponerse, pero los secretos de tiempo de ejecución, como process.env.SECRET, no se ven afectados.

Fuente: React

Suscríbete a nuestro Boletín