home / blog
2026-10-31 · critica
CVE-2025-55182: RCE pre-auth in React Server Components
RCE pre-auth React Server Components: deserializzazione non sicura. CVSS 10,0 critical. Versioni 19.0.0-19.2.0.
Il CVE-2025-55182 descrive una vulnerabilità di esecuzione codice remoto pre-autenticazione nei React Server Components versioni 19.0.0, 19.1.0, 19.1.1 e 19.2.0, nei pacchetti react-server-dom-parcel, react-server-dom-turbopack e react-server-dom-webpack. La falla risiede nel modo in cui il codice deserializza payload ricevuti da richieste HTTP verso gli endpoint Server Function, senza validazione sufficiente. Colpisce direttamente amministratori, team DevOps e sviluppatori che gestiscono applicazioni critiche su queste versioni di React.
La vulnerabilità è stata assegnata un punteggio CVSS di 10,0 ed è classificata critical. Un RCE pre-autenticazione non richiede credenziali e consente esecuzione di codice arbitrario sui server colpiti: è il massimo grado di compromissione possibile. Segnali non ufficiali dal 31 ottobre 2026 indicano che il CVE è stato citato tra le vulnerabilità più sfruttate della settimana. Non sono stati confermati repository pubblici di exploit, ma la semplicità della deserializzazione non sicura e i segnali coerenti suggeriscono credibilità di sfruttamento attivo.
Difesa: 1) Inventariare tutte le dipendenze React Server Components e verificare quale versione è in uso. 2) Se ricade tra 19.0.0-19.2.0, cercare immediatamente patch sul repository ufficiale React. 3) Configurare logging su tutti gli endpoint Server Function per rilevare payload anomali o errori di deserializzazione. 4) Valutare WAF o rate limiting su questi endpoint se esposti. 5) Applicare aggiornamento non appena disponibile e verificare log storici per accessi sospetti.
In sintesi
- Cosa
- Il CVE-2025-55182 è una vulnerabilità di esecuzione codice remoto pre-autenticazione nei React Server Components versioni 19.0.0, 19.1.0, 19.1.1, 19.2.0 presenti nei pacchetti react-server-dom-parcel, react-server-dom-turbopack e react-server-dom-webpack. La falla risiede nella deserializzazione non sicura di payload ricevuti da richieste HTTP verso gli endpoint Server Function.
- Gravità
- CVSS 10,0 - Critical. Un RCE pre-autenticazione non richiede credenziali e consente esecuzione di codice arbitrario. È il massimo grado di compromissione per qualunque applicazione React basata su Server Components.
- Versioni interessate
- React Server Components 19.0.0, 19.1.0, 19.1.1, 19.2.0 nei pacchetti react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack.
- Correzione
- Non riportato nei dati ufficiali NVD. Verificare con urgenza disponibilità di patch sul repository npm o nel changelog ufficiale del progetto React.
- Stato
- Segnali non ufficiali dal 31 ottobre 2026 indicano citazione tra le vulnerabilità più sfruttate della settimana. Non confermati repository pubblici di exploit al momento della ricerca.
- Azione
- Inventariare versioni di React Server Components in uso. Se ricadono in 19.0.0-19.2.0, verificare immediatamente disponibilità patch e applicarla con priorità. Monitorare endpoint Server Function per errori di deserializzazione anomali.
Fonti: NVD, CVE-2025-55182