React Server Components : une faille critique permet l'exécution de code à distance sans authentification

2025-12-03 · Éditeur : React (Meta) · Domaine : Cybersécurité

L'équipe React publie CVE-2025-55182, notée 10 sur 10 : une requête HTTP forgée vers un point d'entrée de Server Function suffit à exécuter du code sur le serveur. Next.js et plusieurs frameworks sont concernés.

### Contexte Le 3 décembre 2025, l'équipe **React** publie un avis sur **CVE-2025-55182**, une vulnérabilité des **React Server Components** signalée le 29 novembre par Lachlan Davidson via le programme de récompenses de Meta. ### Caractéristiques - Score **CVSS de 10,0** : exécution de code à distance **sans authentification**. - Mécanisme : une requête HTTP forgée vers un point d'entrée de *Server Function*, une fois désérialisée par React, exécute du code sur le serveur. - Paquets touchés : **react-server-dom-webpack**, **-parcel** et **-turbopack**, versions 19.0, 19.1.0, 19.1.1 et 19.2.0 ; correctifs en **19.0.1, 19.1.2 et 19.2.1**. - Frameworks concernés : **Next.js**, React Router, Waku, @parcel/rsc, @vitejs/plugin-rsc et rwsdk. - Des failles complémentaires (déni de service, exposition de code source) ont été ajoutées à l'avis le 11 décembre 2025, puis une autre le 26 janvier 2026. ### Pourquoi c'est important React est la bibliothèque d'interface la plus utilisée, et les Server Components sont activés par défaut dans les versions récentes de Next.js. Une faille côté serveur dans une brique perçue comme « frontale » rappelle que le rendu serveur étend la surface d'attaque des applications web. ### À retenir Mettre à jour React et le framework dans la même opération, et suivre les avis de sécurité des dépendances front-end avec la même rigueur que ceux du backend.

Tags : Vulnérabilité, Web, JavaScript