- CVE-2025-55182 in React und CVE-2025-66478 in Next.js ermöglichen die Ausführung von nicht authentifiziertem Remote-Code über das React Server Components Flight-Protokoll.
- Der Fehler liegt in der unsicheren Deserialisierung von RSC-Nutzdaten, wodurch die Standardkonfigurationen von React und Next.js ohne jegliche Anpassung des benutzerdefinierten Codes offengelegt werden.
- Sicherheitsforscher berichten von einer nahezu hundertprozentigen Zuverlässigkeit der Ausnutzung und warnen davor, dass Massenangriffe wahrscheinlich sind, sobald die Patches analysiert werden.
- Die sofortige Aktualisierung auf die gehärteten Versionen von React und Next.js ist die einzig wirksame Maßnahme, insbesondere in Cloud-Umgebungen, wo bis zu ~40 % der Systeme anfällig sein könnten.
Die Veröffentlichung von CVE-2025-55182 in React und der damit verbundenen Schwachstelle CVE-2025-66478 in Next.js hat deutlich gemacht, wie anfällig serverseitige JavaScript-Stacks sein können, wenn Low-Level-Protokolle fehlerhaft funktionieren. Anstatt eines Nischenfehlers handelt es sich hier um eine schwerwiegende Sicherheitslücke, die die Ausführung von Schadcode aus der Ferne ermöglicht und den Kern der React-Serverkomponenten sowie das Flight-Protokoll betrifft , auf das viele moderne Anwendungen im Hintergrund angewiesen sind.
Besonders beunruhigend an diesem Fall ist, dass Standardeinstellungen werden offengelegtEine einfache Next.js-App, generiert mit create-next-appEine für den Produktiveinsatz konzipierte und ohne ungewöhnliche Optionen bereitgestellte Anwendung kann durch eine nicht authentifizierte HTTP-Anfrage kompromittiert werden. Keine komplizierte Fehlkonfiguration, kein exotisches Plugin – nur der Standard-Stack, den viele Teams täglich einsetzen.
Wie CVE-2025-55182 und CVE-2025-66478 aufgedeckt wurden
Die Ursache des Problems liegt in der react-server-Implementierung, die React Server Components (RSC) zugrunde liegt . Dieses Paket bildet die Basis für das Flight-Protokoll, das zum Austausch serialisierter Komponentendaten zwischen Client und Server dient. Als der Sicherheitsforscher Lachlan Davidson Ende November über Metas Bug-Bounty-Programm verdächtiges Verhalten meldete, reagierten die Teams von React und Meta umgehend.
Laut öffentlichen Mitteilungen wurde die Sicherheitslücke an einem Mittwoch bekannt gegeben, und innerhalb von etwa vier Tagen wurden Notfall-Patches bereitgestellt . Das ist eine ungewöhnlich schnelle Reaktion für ein Problem, das ein so großes Ökosystem betrifft, und unterstreicht die Schwere des Fehlers: Die Entwickler von React bewerteten ihn mit dem maximal möglichen CVSS-Wert von 10.0 .
Parallel dazu analysierte Vercel – das Unternehmen hinter Next.js – wie sich derselbe Fehler auf sein Framework auswirkte. Da Next.js serverseitig dasselbe RSC-Flight-Protokoll verwendet, wurde die Schwachstelle übernommen und erhielt die Kennung CVE-2025-66478 . Vercel veröffentlichte am selben Tag wie React eine Warnung und Patches, um Angreifern möglichst wenig Zeit für Angriffe zu lassen.
Trotz der schnellen Reaktion warnten Sicherheitsanbieter und Forscher davor, dass Angreifer die Korrekturen wahrscheinlich sehr schnell per Reverse Engineering nachbauen würden, wie man es bei Lieferkettenangriffen auf npm gesehen habe . Sobald der gepatchte Code öffentlich ist, lässt sich die Fehlerursache deutlich leichter ermitteln und funktionierende Exploits entwickeln.
Was genau läuft im React Flight-Protokoll schief?
Technisch gesehen beruhen sowohl CVE-2025-55182 als auch CVE-2025-66478 auf der unsicheren Deserialisierung von Angreiferdaten innerhalb des Flight-Protokolls. React-Serverkomponenten senden und empfangen strukturierte Nutzdaten, die der Server anschließend dekodiert und zur Steuerung des Ausführungsablaufs verwendet.
Die anfällige Logik in der react-server Paket Die Struktur und der Inhalt der eingehenden RSC-Nutzdaten wurden nicht ausreichend validiert.Durch das Senden einer absichtlich fehlerhaften, aber sorgfältig präparierten Flight-Payload an einen React-Server-Funktionsendpunkt kann ein Angreifer beeinflussen, was der Server beim Deserialisieren der Daten tut. Anstatt einfach den harmlosen Komponentenzustand wiederherzustellen, kann der Codepfad so gelenkt werden, dass er ausgeführt wird. privilegiertes JavaScript auf dem Server.
Da der Fehler die Dekodierung des Protokolls betrifft, ist keine Authentifizierung erforderlich . Ein Angreifer muss lediglich HTTP-Anfragen an einen erreichbaren RSC- oder Serverfunktions-Endpunkt senden können. Dadurch wird die Schwachstelle zu einem einfachen, nicht authentifizierten RCE-Angriffsvektor: Man sendet eine präparierte Anfrage, wartet auf die unsichere Deserialisierung, und die Schadsoftware kann schließlich auf dem Backend ausgeführt werden.
Forscher von Wiz, die das Problem unabhängig analysierten, beschreiben es als eine Schwachstelle in der logischen Deserialisierung und nicht als einen einfachen Parsing-Fehler. In ihren Tests erreichte ein voll funktionsfähiger Proof-of-Concept-Exploit eine nahezu hundertprozentige Zuverlässigkeit bei der Auslösung der Codeausführung auf anfälligen Zielen.
Warum Standard-React- und Next.js-Bereitstellungen gefährdet sind
Einer der besorgniserregendsten Aspekte dieser CVEs ist, dass sie Standardkonfigurationen betreffen . Bei vielen Sicherheitsproblemen erfordert die Ausnutzung ein bestimmtes Feature-Flag, ein selten verwendetes Plugin oder einen nicht standardmäßigen Bereitstellungsmodus. Dies ist hier nicht der Fall.
React-Serverkomponenten und ihr Flight-Protokoll sind zu integralen Bestandteilen moderner React 19- und Next.js-Architekturen geworden. Daher ein Standard-Produktions-Build, der generiert wurde von create-next-app Diese Sicherheitslücke kann ohne zusätzlichen Code seitens des Anwendungsentwicklers ausgenutzt werden. Der Angreifer muss weder benutzerdefinierte Routen noch Geschäftslogik erraten; der Missbrauch der generischen RSC-Endpunkte genügt.
Die Schwachstelle beschränkt sich nicht auf Next.js selbst. Jedes Framework oder Tool, das das RSC Flight-Protokoll serverseitig bündelt oder neu implementiert, kann anfällig sein. Öffentliche Warnungen und Sicherheitsberichte heben mehrere betroffene Ökosysteme hervor:
- Next.js, das bekannteste Rahmenwerk hatte Auswirkungen auf nachgelagerte Bereiche
- Vite RSC-Plugin (
@vitejs/plugin-rsc) - Parcel RSC-Plugin (
@parcel/rsc) - React Router RSC-Vorschau
- RedwoodSDK (oft als bezeichnet)
rwsdk) - Waku und andere RSC-fähige Toolchains
In React selbst betrifft der Fehler die Versionen 19.0, 19.1.0, 19.1.1 und 19.2.0 der entsprechenden Pakete. Die Entwickler geben an, dass ein Upgrade auf Version 19.0.1, 19.1.2 oder 19.2.1 das Verhalten verbessert und die Sicherheitslücke beseitigt. Next.js bietet entsprechende korrigierte Versionen, die die gepatchte React-Serverlogik integrieren.
Einige Infrastrukturanbieter haben die Auswirkungen genauer definiert. Google hat beispielsweise erklärt, dass öffentliche Betriebssystem-Images für Compute Engine standardmäßig nicht anfällig sind , da sie weder React noch Next.js vorkonfiguriert ausliefern; das Risiko entsteht erst, wenn Nutzer betroffene Versionen dieser Frameworks auf den Basis-Images installieren.
Wie groß ist der Explosionsradius innerhalb der Wolke?
Das Ausmaß des Problems wird deutlich, wenn man betrachtet, wie weit verbreitet React und Next.js in der Produktion eingesetzt werden. React bildet die Grundlage für die Benutzeroberflächen großer Plattformen wie Facebook, Instagram, Netflix, Airbnb, Shopify, Walmart, Asana und vieler anderer . Hinzu kommen unzählige kleinere Anwendungen und interne Dashboards, die mit denselben Komponenten und Frameworks entwickelt wurden.
Die Threat-Intelligence-Teams von Wiz analysierten Telemetriedaten aus Cloud-Umgebungen und stellten fest, dass etwa 39–40 % der Cloud-Bereitstellungen anfällige Instanzen von React oder Next.js enthalten. Allein Next.js ist in rund 69 % der untersuchten Umgebungen vertreten , und in etwa 61 % dieser Umgebungen laufen öffentlich zugängliche Anwendungen darauf . Zusammengenommen bedeutet dies, dass rund 44 % aller beobachteten Cloud-Umgebungen öffentlich zugängliche Next.js-Instanzen hosten , unabhängig von der genauen Framework-Version.
Diese Überschneidung von Popularität und Anfälligkeit alarmiert die IT-Sicherheitsexperten. Wenn eine weit verbreitete IT-Plattform eine schwerwiegende, nicht authentifizierte Remote-Code-Schwachstelle (RCE) mit einem zuverlässigen Ausnutzerpfad aufweist, sind opportunistische und gezielte Angriffe nahezu unvermeidlich . Selbst Organisationen, die Sicherheitslücken schnell beheben, riskieren ein kurzes Zeitfenster, in dem exponierte Endpunkte ausspioniert und kompromittiert werden können.
Zum Zeitpunkt der ersten Veröffentlichungen waren noch keine bestätigten Fälle von Ausnutzung in freier Wildbahn öffentlich bekannt . Mehrere Sicherheitsforscher, darunter Experten von Rapid7 und watchTowr, betonten jedoch, dass es realistisch sei anzunehmen, dass Angreifer bereits die Patches analysieren, nach ungepatchten Diensten suchen und automatisierte Angriffsketten aufbauen.
Was Forscher und Anbieter über das Ausbeutungsrisiko sagen
Die Aussagen der Sicherheitscommunity zeichnen ein einheitliches Bild: Es handelt sich nicht um ein theoretisches Problem , und die Hürde für Angreifer ist gering. Benjamin Harris, CEO von watchTowr, bezeichnete die Schwachstelle als ein erhebliches Risiko für Nutzer eines der weltweit am weitesten verbreiteten Web-Frameworks und betonte, dass für ihre Ausnutzung nur wenige Voraussetzungen nötig seien.
Forscher bei Wiz bestätigten diese Einschätzung nach Tests sowohl anfälliger als auch gepatchter Versionen. Ihre internen Experimente zeigten, dass die speziell präparierten Payloads, die die unsichere Deserialisierung ausnutzten, eine nahezu hundertprozentige Erfolgsquote bei der Auslösung vollständiger Remote-Codeausführung auf betroffenen Servern erzielten. Sie stellten außerdem fest, dass der Angriff vollständig remote und unauthentifiziert erfolgt und ausschließlich über speziell konstruierte HTTP-Anfragen ausgelöst wird.
Rapid7 geht davon aus, dass technische Dokumentationen und Proof-of-Concept-Exploits veröffentlicht werden, sobald genügend Nutzer die Patches analysiert haben . Dies wiederum dürfte zu umfassenderen Scans und massenhaften Ausnutzungsversuchen führen, insbesondere in Cloud-Umgebungen mit vielen internetfähigen Anwendungen.
Auch außerhalb der Anbietergemeinschaft haben Branchenmedien diese CVEs als Bedrohung für einen erheblichen Teil des Internets dargestellt . Die Berichterstattung hob nicht nur die Schwere der Sicherheitslücken hervor, sondern auch die Anzahl großer Verbraucherseiten, SaaS-Plattformen und API-Backends, die für ihre Frontends und serverseitiges Rendering auf React und Next.js setzen.
Abhilfemaßnahmen: Was React- und Next.js-Nutzer jetzt tun sollten
Für Teams, die React oder Next.js produktiv einsetzen, lautet die Empfehlung von Entwicklern und Forschern eindeutig: Ein Upgrade auf die gepatchten Versionen ist die einzig endgültige Lösung . Es gibt keine Konfigurationseinstellungen oder allgemeinen WAF-Regeln, die das zugrundeliegende unsichere Deserialisierungsverhalten des Flight-Protokolls vollständig beheben können.
Das React-Team empfiehlt allen Nutzern betroffener Branches Wechselt zu den gehärteten Versionen 19.0.1, 19.1.2 oder 19.2.1, um sicherzustellen, dass die react-server Das Paket ist im Update enthalten. Für Next.js hat Vercel Folgendes veröffentlicht: Behobene Builds, die die gepatchte RSC-Verarbeitung integrierenAdministratoren sollten die offizielle Next.js-Empfehlung konsultieren, um die minimale sichere Version für die von ihnen gewählte Release-Reihe zu ermitteln.
Organisationen, die auf andere RSC-fähige Frameworks wie Redwood, Waku, die RSC-Vorschau von React Router oder die RSC-Plugins von Vite und Parcel angewiesen sind, sollten die entsprechenden Versionshinweise und Sicherheitskanäle prüfen . In vielen Fällen kapseln oder bündeln diese Projekte lediglich die Serverkomponenten von React, sodass ein Update von React selbst und anschließend die Installation der neuesten Framework-Version erforderlich ist.
Neben dem einfachen Patchen werden Cloud-basierte Tools eingesetzt, um Schwachstellen in großem Umfang aufzuspüren . Wiz-Kunden können beispielsweise Abfragen und Empfehlungen im Wiz Threat Center nutzen, um herauszufinden, wo betroffene Versionen von React oder Next.js in ihren Umgebungen eingesetzt werden. Andere Organisationen verwenden Asset-Inventare, SBOM-Daten und Container-Scans, um eine ähnliche Transparenz zu erreichen.
Sollten Anzeichen dafür vorliegen, dass Systeme bereits durch diese CVEs angegriffen oder kompromittiert wurden, wird die Inanspruchnahme von Unterstützung bei der Reaktion auf Sicherheitsvorfälle empfohlen . Einige Anbieter fordern Kunden, die eine Ausnutzung von CVE-2025-55182 oder CVE-2025-66478 vermuten, ausdrücklich dazu auf, sich an ihre Incident-Response-Teams zu wenden, um Unterstützung bei der Priorisierung, Eindämmung und forensischen Analyse zu erhalten.
Was dies über das JavaScript-Web-Ökosystem aussagt
Obwohl die Patches für React und Next.js die unmittelbare Sicherheitslücke schließen, wirft der Vorfall grundsätzliche Fragen zum Umgang serverseitiger JavaScript-Frameworks mit nicht vertrauenswürdigen Daten auf . Protokolle wie Flight sind tief im Stack verankert und hinter Abstraktionen verborgen, die Entwickler selten direkt untersuchen. Dadurch können Fehler weitreichende Folgen haben, bevor sie bemerkt werden.
Die Tatsache, dass anfälliges Verhalten in standardmäßigen, stark beworbenen Konfigurationen ausgeliefert wird , verdeutlicht den Konflikt zwischen Entwicklerfreundlichkeit und standardmäßig sicherer Architektur. Funktionen, die die Entwicklung moderner Anwendungen vereinfachen – wie Serverkomponenten und die nahtlose Serialisierung zwischen Client und Server – können unbemerkt komplexe Angriffsflächen schaffen.
Für Sicherheitsteams ist dieser Fall eine weitere Mahnung, dass Schwachstellen auf Framework-Ebene sich blitzschnell zu unternehmensweiten Sicherheitslücken ausweiten können . Ein einzelner Fehler in einer weit verbreiteten Open-Source-Komponente kann sich als zentraler Bestandteil dutzender separater Anwendungen, Microservices und interner Tools erweisen, insbesondere bei der Wiederverwendung von Containern und Templates.
Positiv zu vermerken ist, dass die Reaktion der React-Entwickler Meta und Vercel zeigt, dass koordinierte Offenlegung und schnelle Patch-Entwicklung selbst in großen Ökosystemen möglich sind . Klare Hinweise, versionierte Korrekturen und die Abstimmung mit Sicherheitsanbietern haben den Sicherheitsverantwortlichen geholfen, diesem Problem inmitten vieler anderer Schwachstellen Priorität einzuräumen.
Viele Beobachter gehen davon aus, dass die Serialisierungs-, Deserialisierungs- und Protokollanalyselogik in Web-Frameworks auch künftig verstärkt geprüft wird . Sollten die Sicherheitslücken CVE-2025-55182 und CVE-2025-66478 zu systematischeren Tests und strengeren Validierungen von Komponenten wie Flight führen, könnten aus diesem ansonsten schwerwiegenden Vorfall langfristige Sicherheitsvorteile entstehen.
Aktuell befinden sich Teams, die React- oder Next.js-Stacks nutzen, in einem Wettlauf zwischen der Bereitstellung von Patches und der Automatisierung von Angriffen . Angesichts einer maximal schwerwiegenden Remote Code Execution (RCE), die Standardkonfigurationen betrifft, einer weit verbreiteten Cloud-Präsenz und bereits in der Forschung nachgewiesener hochzuverlässiger Exploitation-Techniken, hängt die Sicherheit dieser Umgebungen davon ab, wie schnell Unternehmen ihre Schwachstellen identifizieren und alle Komponenten auf die gehärteten Releases umstellen können.
