React2Shell [CVE-2025-55182]
RCE Crítico en React Server Components
![React2Shell [CVE-2025-55182]](/_next/image?url=https%3A%2F%2Fcdn.hashnode.com%2Fres%2Fhashnode%2Fimage%2Fupload%2Fv1768448084198%2Fa12d7723-4ebf-4df8-8ebf-811cdae26e8d.png&w=3840&q=75)
Hola, soy Adara, una chica a la que le gusta compartir conocimientos y aprender. La iniciativa de Codea Seguro surgió a partir de la necesidad que veo en mi país de residencia, Argentina, de concientizar acerca de la seguridad de la información, con un enfoque técnico y también orientado a usuarios finales. Además, desde Codea Seguro compartimos tips y buenas prácticas aplicadas al desarrollo de software y al diseño de arquitectura. ¡Espero poder aportar, de algún modo, a tus conocimientos. Gracias!
IMPORTANTE
Esta vulnerabilidad es un "Must-Patch" inmediato. Es una vulnerabilidad del tipo RCE (Remote Code Execution) y afecta al núcleo de React 19 y, por extensión, a NextJs y cualquier otro framework que utilice React Server Components (RSC).
Detalles Técnicos
ID: CVE-2025-55182 (también rastreada inicialmente como CVE-2025-66478 en NextJS).
Severidad: 10.0/10 (CRÍTICA).
Tipo: Deserialización insegura de datos.
Posible ataque: Un atacante puede enviar una solicitud HTTP maliciosa al protocolo "Flight" (el que usa RSC para pasar datos entre servidor y cliente). Al deserializar esta petición, el servidor ejecuta código arbitrario con los privilegios del proceso web. Incluso puede ejecutar codigo que vos mismo estes enviando.
Tecnologias afectadas
React: Versiones 19.0.0, 19.1.x, y 19.2.0.
NextJS: Versiones 15.x y 16.x (que usan App Router), y versiones canary desde la 14.3.0.
Otros: React Router RSC preview, Redwood SDK, Waku y plugins de Vite/Parcel para RSC.
ALERT
A partir de esta vulnerabilidad se confirmo que las aplicaciones creadas con create-next-app bajo configuraciones por defecto son vulnerables sin necesidad de que los desarrolladores haya cometido errores de código.
Evitar esta vulnerabilidad / Mitigar riesgos
Si estas usando alguna de estas tecnologias actualiza a las versiones ya parcheadas que se detallan en la grilla.
| Tecnologia | Versión Segura (Parcheada) |
| React | 19.0.1, 19.1.2 o 19.2.1 |
| Next.js 15/16 | 15.0.5, 15.1.9, 15.5.7, 16.0.7 |
| Next.js 14 (Canary) | Downgrade a 14.2.35 o estable |
TIP
Si usas Next.js, puedes ejecutar este comando para verificar y arreglar tu proyecto automáticamente:
npx fix-react2shell-next
