近期，聚铭安全攻防实验室监测发现了一项与React Server Components相关的远程代码执行漏洞， 该漏洞已被披露，编号为 CVE-2025-55182，CVSS 评分为 10.0 。

如果你在用 React 19 / Next.js 15 / 16， 这篇就当是一个温柔但坚决的催命信： Vercel 已经出手，在它的全球 Web Application Firewall（WAF）上， 加了一层拦截规则，免费帮所有托管在上面的项目挡一波。

在科技的快速发展中，安全问题始终是开发者们无法忽视的隐患。今天凌晨，React团队发布了一则紧急通知，警告用户一个最高危漏洞（CVE-2025-55182）的出现，CVSS评分高达10.0分，标志着这一漏洞的危险程度相当于黑客能轻易在服务器上执行任意代码，简直是开发者的噩梦！

A maximum severity vulnerability, dubbed 'React2Shell', in the React Server Components (RSC) 'Flight' protocol allows remote code execution without authentication in React and Next.js applications.

Critical vulnerability in React library should be treated by IT as they did Log4j - as an emergency, warns one expert.

11 月 29 日，Lachlan Davidson 报告了 React 中的一个安全漏洞，该漏洞允许通过利用 React 解码发送到 React Server Function 端点的有效负载的方式来 实现未经身份验证的远程代码执行 。

Learn the key concepts behind React and how to use JSX elements and components to build lean and fast web front ends React, also known as ReactJS, is an open source JavaScript library for building ...