Критический баг в React Server: RCE без авторизации уже эксплуатируют

Критический баг в React Server: RCE без авторизации уже эксплуатируют

Критический баг в React Server: RCE без авторизации уже эксплуатируют

В экосистеме React вскрылась серьёзная проблема — настолько серьёзная, что ей сразу выдали максимальный балл по CVSS 10.0. Уязвимость затрагивает React Server Components и позволяет злоумышленнику удалённо запускать произвольный код на сервере, даже не проходя аутентификацию.

Проблема кроется в том, как React Server Functions принимают и разбирают данные, отправленные из браузера. Клиент генерирует HTTP-запрос к серверной точке, React пытается распарсить содержимое — и именно на этапе этой «разборки» злой запрос может заставить сервер выполнить код, которого там быть не должно.

Если в проекте включена поддержка React Server Components, даже без фактического использования React Server Functions — уязвимость всё равно в зоне риска.

1 декабря команда React выпустила исправление и начала сотрудничать с хостинг-провайдерами и open-source проектами, чтобы обновления прокатились как можно быстрее. 3 декабря уязвимость внесли в реестр как CVE-2025-55182, а исследователи уже выложили PoC — прототип эксплуатации, демонстрирующий, как именно можно сломать сервер. Другими словами, ждать появления массовых эксплойтов долго не придётся.

Лука Сафонов, бизнес-партнёр по инновационному развитию ГК «Гарда», предупреждает: уязвимости такого уровня мгновенно становятся магнитом для атак.

Даже если приложение не использует серверные функции напрямую, но поддержка React Server Components включена, риск всё равно есть. Спасти положение могут решения класса WAF, которые закрывают дыры нулевого дня и блокируют попытки эксплуатации.

React-команде сейчас явно не до спокойных выходных: уязвимость критическая, PoC доступен, а экосистема огромна. Обновляться нужно как можно быстрее — и без отлагательств.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

Многие не могут попасть в Госуслуги без MAX

Некоторые пользователи при входе в приложение Госуслуги столкнулись с предложением подключить мессенджер MAX для получения кодов подтверждения. При этом пропустить экран с таким уведомлением невозможно. Судя по всему, новое окно с безальтернативным выбором российского мессенджера появляется у тех, кто ещё не настроил двухфакторную аутентификацию, однако для её изменения всё равно требуется зайти в аккаунт.

На проблему обратило внимание РИА Новости. Один из корреспондентов агентства лично столкнулся с тем, что пропустить экран с предложением использовать MAX для получения кодов подтверждения при входе в приложение невозможно.

Функция получения кодов через MAX появилась в августе 2025 года. Она доступна даже в случаях, когда пользователь не может получить СМС.

Как отмечает портал «Код Дурова», появление экрана с требованием подключить MAX не зависит от того, зарегистрирован ли пользователь Госуслуг в этом мессенджере.

По данным исследования «Кода Дурова», в десктопных версиях браузеров подобное “незакрываемое” окно появляется реже — даже при активации режима «Запросить настольную версию сайта» в мобильном браузере.

Однако этот способ не гарантирует полного обхода проблемы. Альтернативой может стать изменение настроек двухфакторной аутентификации непосредственно в мобильном приложении Госуслуг.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru