UCloud-202512-003:React Server Components拒绝服务漏洞安全警告
- 发布时间
- 更新时间
- 2012-12-12
- 漏洞等级
- High
- CVE编号
- CVE-2025-55184
漏洞详情
近日，UCloud 安全中心监测到 React 官方发布了针对 React Server Components 拒绝服务漏洞（CVE-2025-55184）的修复补丁。攻击者可通过构造恶意请求，在服务端反序列化过程中触发无限循环，导致服务进程阻塞，无法继续处理后续 HTTP 请求，进而造成拒绝服务（DoS）。
由于 Next.js 依赖存在缺陷的 React 服务端 DOM 组件，因此同样受到影响，形成 Next.js 拒绝服务漏洞（CVE-2025-67779）。目前相关 PoC 已在互联网上公开，包括 Dify 在内的多个应用已确认受影响，风险较高。
影响范围
一、影响版本
React Server < 19.0.3
React Server < 19.1.4
React Server < 19.2.3
二、受影响组件：
Next.js 14.x < 14.2.35
Next.js 15.0.x < 15.0.7
Next.js 15.1.x < 15.1.11
Next.js 15.2.x < 15.2.8
Next.js 15.3.x < 15.3.8
Next.js 15.4.x < 15.4.10
Next.js 15.5.x < 15.5.9
Next.js 15.x canary < 15.6.0-canary.60
Next.js 16.0.x < 16.0.10
Next.js 16.x canary < 16.1.0-canary.19
Dify 等
修复方案
官方已发布安全补丁，请及时更新至最新版本：
React Server >= 19.0.3
React Server >= 19.1.4
React Server >= 19.2.3
参考链接