Sviluppatori e amministratori di tutto il mondo stanno aggiornando urgentemente i propri server a seguito della scoperta di una vulnerabilità critica in React Server, che consente agli aggressori di eseguire codice non autenticato da remoto con una singola richiesta HTTP. L’exploit è ora disponibile al pubblico e il problema ha ricevuto il punteggio di gravità più alto, 10 su 10, sul CVSS.

React viene utilizzato attivamente sui server per accelerare il rendering di JavaScript e dei contenuti: invece di ricaricare completamente la pagina a ogni richiesta, ridisegna solo le parti modificate dell’interfaccia. Ciò consente un notevole risparmio di risorse e migliora le prestazioni dell’applicazione. Si stima che React sia utilizzato da circa il 6% di tutti i siti web e da circa il 39% degli ambienti cloud, quindi la vulnerabilità interessa un’ampia fetta dell’infrastruttura.

Gli specialisti di Wiz riferiscono che lo sfruttamento richiede una sola richiesta HTTP appositamente predisposta e i loro test hanno mostrato un tasso di successo “quasi del 100%”. Un ulteriore rischio è rappresentato dal fatto che molti framework e librerie popolari integrano React Server di default. Di conseguenza, anche le applicazioni che non utilizzano direttamente le funzionalità di React, ma il cui livello di integrazione richiama comunque codice vulnerabile, possono essere vulnerabili.

È la combinazione tra l’ampia adozione di React, la facilità di sfruttamento e il potenziale di completa acquisizione del server che ha portato al suo più alto livello di gravità. Sui social media, esperti di sicurezza e sviluppatori stanno esortando gli sviluppatori ad aggiornare senza indugio. “Di solito non lo dico, ma risolvetelo subito, accidenti “, scrive un esperto, sottolineando che la vulnerabilità di React, CVE-2025-55182, è un “10 perfetto”.

Sono interessate le versioni 19.0.1, 19.1.2 e 19.2.1 di React. Anche i componenti di terze parti che utilizzano React Server Components sono vulnerabili: i plugin Vite RSC e Parcel RSC, la versione pre-release di React Router RSC, RedwoodSDK, Waku e Next.js. La vulnerabilità per Next.js è tracciata separatamente con l’identificatore CVE-2025-66478.

Secondo Wiz e Aikido, il problema deriva dalla deserializzazione non sicura in Flight, il protocollo utilizzato nei componenti server di React. La deserializzazione è il processo di conversione di stringhe, flussi di byte e altri dati “serializzati” in oggetti e strutture in memoria. Se questo processo viene implementato in modo errato, un aggressore potrebbe iniettare dati appositamente creati che altererebbero la logica di esecuzione del codice lato server.

Gli sviluppatori di React hanno già rilasciato aggiornamenti che rafforzano la convalida dei dati in entrata e rendono più efficace il comportamento di deserializzazione per prevenire tali attacchi.

Wiz e Aikido raccomandano vivamente ad amministratori e sviluppatori di aggiornare React e tutte le dipendenze che lo utilizzano il prima possibile e di seguire attentamente le raccomandazioni dei responsabili dei framework e dei plugin sopra menzionati. Aikido consiglia inoltre di cercare informazioni sull’utilizzo di React nel codice sorgente e nei repository del progetto e di assicurarsi che tutti i componenti potenzialmente vulnerabili siano stati patchati.

L'articolo Una richiesta e il server è tuo! Il bug critico di React Server ha bisogno di patch immediate proviene da Red Hot Cyber.