Критический баг в React Server: RCE без авторизации уже эксплуатируют

Критический баг в React Server: RCE без авторизации уже эксплуатируют

Критический баг в React Server: RCE без авторизации уже эксплуатируют

В экосистеме React вскрылась серьёзная проблема — настолько серьёзная, что ей сразу выдали максимальный балл по CVSS 10.0. Уязвимость затрагивает React Server Components и позволяет злоумышленнику удалённо запускать произвольный код на сервере, даже не проходя аутентификацию.

Проблема кроется в том, как React Server Functions принимают и разбирают данные, отправленные из браузера. Клиент генерирует HTTP-запрос к серверной точке, React пытается распарсить содержимое — и именно на этапе этой «разборки» злой запрос может заставить сервер выполнить код, которого там быть не должно.

Если в проекте включена поддержка React Server Components, даже без фактического использования React Server Functions — уязвимость всё равно в зоне риска.

1 декабря команда React выпустила исправление и начала сотрудничать с хостинг-провайдерами и open-source проектами, чтобы обновления прокатились как можно быстрее. 3 декабря уязвимость внесли в реестр как CVE-2025-55182, а исследователи уже выложили PoC — прототип эксплуатации, демонстрирующий, как именно можно сломать сервер. Другими словами, ждать появления массовых эксплойтов долго не придётся.

Лука Сафонов, бизнес-партнёр по инновационному развитию ГК «Гарда», предупреждает: уязвимости такого уровня мгновенно становятся магнитом для атак.

Даже если приложение не использует серверные функции напрямую, но поддержка React Server Components включена, риск всё равно есть. Спасти положение могут решения класса WAF, которые закрывают дыры нулевого дня и блокируют попытки эксплуатации.

React-команде сейчас явно не до спокойных выходных: уязвимость критическая, PoC доступен, а экосистема огромна. Обновляться нужно как можно быстрее — и без отлагательств.

Молчание в трубке: мошенники проверяют активность номеров россиян

Если вам всё чаще звонят неизвестные номера, а после ответа в трубке стоит подозрительная тишина, возможно, это не технический сбой, а часть мошеннической схемы. Как правило, человек отвечает на вызов, слышит тишину, а через несколько секунд звонок сбрасывается.

Как рассказал РИА Новости руководитель департамента киберразведки компании «Бастион» Константин Ларин, в России набирают популярность так называемые молчаливые звонки.

На самом деле такой вызов может выполнять вполне конкретную задачу — проверить, активен ли номер и насколько охотно его владелец отвечает на звонки.

Если абонент поднял трубку, мошенники получают полезную информацию. После этого номер может попасть в базы для дальнейших обзвонов, рекламного спама или более серьёзных мошеннических атак.

Следующим этапом нередко становятся уже привычные вишинговые сценарии. Пользователю могут позвонить под видом сотрудника банка, оператора связи или госорганов и попросить подтвердить данные на «Госуслугах», продлить договор или назвать код из СМС.

Впрочем, не всегда молчание в трубке означает работу злоумышленников. Иногда причиной становятся автоматические системы обзвона, которые сначала соединяют человека с роботом, а затем пытаются переключить вызов на оператора. Если операторов не хватает, пользователь слышит лишь тишину.

Эксперты рекомендуют не перезванивать на незнакомые номера. В некоторых случаях такой звонок может оказаться платным или привести к соединению с зарубежным абонентом, за которое придётся заплатить.

Специалисты также советуют насторожиться, если подобные вызовы начинают поступать регулярно, особенно с разных номеров, а затем сопровождаются подозрительными сообщениями или новыми звонками.

Главное правило остаётся прежним: никакие коды подтверждения, паспортные данные, данные банковских карт и другую конфиденциальную информацию по телефону сообщать нельзя.

RSS: Новости на портале Anti-Malware.ru