Skip to content
OpenAdvisories
High NCSC-2025-0394 3 CVEs

Kwetsbaarheden verholpen in React Server Components

Published Dec 12, 2025 · Updated Dec 12, 2025 · Revision 2 · nl

Vendor: Meta Open Source Product: react-server-dom-parcel Product: react-server-dom-turbopack Product: react-server-dom-webpack

Summary

Meta heeft kwetsbaarheden verholpen in React Server Components Parcel, Turbopack en Webpack.

Details

Interpretaties
De kwetsbaarheden zijn gerelateerd aan onveilige deserialisatie van HTTP-verzoekpayloads, wat kan leiden tot Denial-of-Service-aanvallen en serverhangen. Dit heeft invloed op de beschikbaarheid van applicaties die gebruikmaken van deze versies. Daarnaast is er een informatielek dat kan resulteren in het blootleggen van de broncode van Server Functions onder specifieke omstandigheden. Deze kwetsbaarheden zijn kritiek voor server-side rendering in React-applicaties.

Oplossingen
Meta heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie.

Vulnerabilities 3

  • High 7.5
    CVE-2025-55184 Public exploit Scanner template EPSS 64%

    Denial of Service Vulnerability in React Server Components

    A pre-authentication denial of service vulnerability exists in React Server Components versions 19.0.0, 19.0.1 19.1.0, 19.1.1, 19.1.2, 19.2.0 and 19.2.1, including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-d…

    Meta react-server-dom-turbopack react-server-dom-webpack react-server-dom-parcel npm
  • High 7.5
    CVE-2025-67779 EPSS 15%

    Denial of Service Vulnerability in React Server Components

    It was found that the fix addressing CVE-2025-55184 in React Server Components was incomplete and does not prevent a denial of service attack in a specific case. React Server Components versions 19.0.2, 19.1.3 and 19.2.2 are affected, allowing unsafe deserial…

    Meta react-server-dom-parcel react-server-dom-turbopack react-server-dom-webpack npm
  • Medium 5.3
    CVE-2025-55183 Public exploit EPSS 62%

    Source Code Exposure Vulnerability in React Server Components

    An information leak vulnerability exists in specific configurations of React Server Components versions 19.0.0, 19.0.1 19.1.0, 19.1.1, 19.1.2, 19.2.0 and 19.2.1, including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-…

    Meta react-server-dom-parcel react-server-dom-turbopack react-server-dom-webpack npm

Revision history

  1. #1.0.1

    De kwetsbaarheden zitten volgens het React team in onderstaande versies: - CVE-2025-55184 & CVE-2025-55183 - 19.0.0, 19.0.1 19.1.0, 19.1.1, 19.1.2, 19.2.0 and 19.2.1 - CVE-2025-67779 - 19.0.2, 19.1.3 and 19.2.2 De kwetsbaarheden worden in versies 19.0.3, 19.1.4, and 19.2.3 verholpen.

  2. #1.0.0

    Initiele versie

References

  • Reference
    https://react.dev/blog/2025/12/11/denial-of-service-and-source-code-exposure-in-react-server-components
  • Reference
    https://www.facebook.com/security/advisories/cve-2025-55183
  • Reference
    https://www.facebook.com/security/advisories/cve-2025-55184
  • Reference
    https://www.facebook.com/security/advisories/cve-2025-67779