[MàJ] Vulnérabilité dans React Server Components

{
  "id": "ffe2257b5d0bcc4543001c89742f232f3c5cd10fc61fdf304c245a11ba105a65",
  "url": "https://www.cert.ssi.gouv.fr/alerte/CERTFR-2025-ALE-014/",
  "method": "llm",
  "payload": {
    "kind": "advisory",
    "title": "[MàJ] Vulnérabilité dans React Server Components",
    "summary": "CERT-FR warns that CVE-2025-55182 in React Server Components can enable unauthenticated remote code execution and has been exploited. It recommends updating affected components to vendor-fixed versions; the bulletin lists affected ranges but does not specify exact fixed versions for most products.",
    "evidence": "Le 3 décembre 2025, React a publié un avis de sécurité relatif à la vulnérabilité CVE-2025-55182 affectant React Server Components et qui permet à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance.",
    "products": [
      {
        "name": {
          "value": "Next.js",
          "evidence": "Next.js versions 15.0.x antérieures à 15.0.5"
        },
        "prerequisites": [],
        "fixed_versions": [],
        "affected_versions": [
          {
            "value": "versions 14.x canary",
            "evidence": "Next.js versions 14.x canary"
          },
          {
            "value": "versions 15.0.x antérieures à 15.0.5",
            "evidence": "Next.js versions 15.0.x antérieures à 15.0.5"
          },
          {
            "value": "versions 15.1.x antérieures à 15.1.9",
            "evidence": "Next.js versions 15.1.x antérieures à 15.1.9"
          },
          {
            "value": "versions 15.2.x antérieures à 15.2.6",
            "evidence": "Next.js versions 15.2.x antérieures à 15.2.6"
          },
          {
            "value": "versions 15.3.x antérieures à 15.3.6",
            "evidence": "Next.js versions 15.3.x antérieures à 15.3.6"
          },
          {
            "value": "versions 15.4.x antérieures à 15.4.8",
            "evidence": "Next.js versions 15.4.x antérieures à 15.4.8"
          },
          {
            "value": "versions 15.5.x antérieures à 15.5.7",
            "evidence": "Next.js versions 15.5.x antérieures à 15.5.7"
          },
          {
            "value": "versions 16.0.x antérieures à 16.0.7",
            "evidence": "Next.js versions 16.0.x antérieures à 16.0.7"
          }
        ]
      },
      {
        "name": {
          "value": "react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack",
          "evidence": "react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.0.x antérieures à 19.0.1"
        },
        "prerequisites": [],
        "fixed_versions": [],
        "affected_versions": [
          {
            "value": "versions 19.0.x antérieures à 19.0.1",
            "evidence": "react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.0.x antérieures à 19.0.1"
          },
          {
            "value": "versions 19.1.x antérieures à 19.1.2",
            "evidence": "react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.1.x antérieures à 19.1.2"
          },
          {
            "value": "versions 19.2.x antérieures à 19.2.1",
            "evidence": "react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.2.x antérieures à 19.2.1"
          }
        ]
      },
      {
        "name": {
          "value": "Expo",
          "evidence": "Expo sans les versions correctives de react-server-dom-webpack"
        },
        "prerequisites": [
          {
            "value": "sans les versions correctives de react-server-dom-webpack",
            "evidence": "Expo sans les versions correctives de react-server-dom-webpack"
          }
        ],
        "fixed_versions": [],
        "affected_versions": []
      },
      {
        "name": {
          "value": "React router",
          "evidence": "React router avec le support de l'API RSC sans les derniers correctifs de sécurité"
        },
        "prerequisites": [
          {
            "value": "avec le support de l'API RSC sans les derniers correctifs de sécurité",
            "evidence": "React router avec le support de l'API RSC sans les derniers correctifs de sécurité"
          }
        ],
        "fixed_versions": [],
        "affected_versions": []
      },
      {
        "name": {
          "value": "Redwood SDK",
          "evidence": "Redwood SDK versions antérieures à 1.0.0-alpha.0"
        },
        "prerequisites": [],
        "fixed_versions": [],
        "affected_versions": [
          {
            "value": "versions antérieures à 1.0.0-alpha.0",
            "evidence": "Redwood SDK versions antérieures à 1.0.0-alpha.0"
          }
        ]
      },
      {
        "name": {
          "value": "Vitejs",
          "evidence": "Vitejs avec le greffon plugin-rsc sans les derniers correctifs de sécurité"
        },
        "prerequisites": [
          {
            "value": "avec le greffon plugin-rsc sans les derniers correctifs de sécurité",
            "evidence": "Vitejs avec le greffon plugin-rsc sans les derniers correctifs de sécurité"
          }
        ],
        "fixed_versions": [],
        "affected_versions": []
      },
      {
        "name": {
          "value": "Waku",
          "evidence": "Waku sans les versions correctives de react-server-dom-webpack"
        },
        "prerequisites": [
          {
            "value": "sans les versions correctives de react-server-dom-webpack",
            "evidence": "Waku sans les versions correctives de react-server-dom-webpack"
          }
        ],
        "fixed_versions": [],
        "affected_versions": []
      }
    ],
    "severity": "unknown",
    "fixed_cves": [],
    "related_cves": [
      {
        "value": "CVE-2025-55182",
        "evidence": "CVE-2025-55182"
      },
      {
        "value": "CVE-2025-66478",
        "evidence": "CVE-2025-66478"
      }
    ],
    "security_relevant": true,
    "severity_evidence": null
  },
  "source_id": "official-cert-fr-alerts",
  "document_id": 23307,
  "published_at": "2025-12-05T00:00:00+00:00"
}