> ## Content Index > Fetch the complete content index at: https://www.sredevops.org/llms.txt > Use this file to discover other available public pages before exploring further. # Atención!: Vulnerabilidades Críticas en React y Next.js: Revisa si tus proyectos son vulnerables - URL: https://www.sredevops.org/es/atencion-vulnerabilidades-criticas-en-react-y-next-js-revisa-si-tus-proyectos-son-vulnerables/ - Published: 2025-12-03T21:42:35.000Z - Updated: 2026-01-08T02:36:41.000Z - Author: Nicolás Georger - Tags: Security, Español, #es, DevSecOps ### **En resumen:** - **CVE-2025-55182 (React)** y **CVE-2025-66478 (Next.js)** son vulnerabilidades críticas de RCE (Ejecución Remota de Código) no autenticadas en el protocolo "Flight" de React Server Components (RSC). - **Las configuraciones por defecto son vulnerables**: una aplicación estándar de Next.js creada con `create-next-app` y compilada para producción puede ser explotada sin cambios de código por parte del desarrollador. - **La explotación requiere solo una solicitud HTTP manipulada** y ha mostrado una **fiabilidad cercana al 100%** en las pruebas. La falla se origina en la **deserialización insegura** en la lógica de manejo de *payloads* de RSC, permitiendo que datos controlados por el atacante influyan en la ejecución del lado del servidor. - **Se requiere un parche inmediato**. Hay versiones reforzadas disponibles para React y Next.js. - Los datos de Wiz Research muestran que el **39% de los entornos *cloud*** contienen instancias vulnerables. ## Detalles Técnicos Se ha identificado una vulnerabilidad crítica en el protocolo "Flight" de React Server Components (RSC), que afecta al ecosistema de React 19 y a los *frameworks* que lo implementan, principalmente Next.js. Asignada como CVE-2025-55182 (React) y CVE-2025-66478 (Next.js), esta falla permite la ejecución remota de código (RCE) no autenticada en el servidor debido a una deserialización insegura. La vulnerabilidad existe en la configuración por defecto de las aplicaciones afectadas, lo que significa que los despliegues estándar están en riesgo inmediato. Debido a la alta severidad y la facilidad de explotación, se requiere un parcheo inmediato. Para mantener la seguridad del ecosistema mientras se aplican los parches, actualmente estamos reteniendo detalles específicos; los detalles proporcionados aquí están destinados únicamente a ayudar a los defensores a priorizar la remediación y comprender el riesgo. Actualizaremos este *blog* con información adicional a medida que salga a la luz. ## ¿Qué son CVE-2025-55182 y CVE-2025-66478? **CVE-2025-55182** es una vulnerabilidad crítica de ejecución remota de código (RCE) no autenticada en el paquete `react-server` utilizado por React Server Components (RSC). **CVE-2025-66478** es la vulnerabilidad de RCE correspondiente en Next.js, que hereda la misma falla subyacente a través de su implementación del protocolo "Flight" de RSC. La vulnerabilidad reside fundamentalmente en el paquete `react-server` y su manejo del protocolo "Flight" de RSC. Se caracteriza como una vulnerabilidad de deserialización lógica donde el servidor procesa los *payloads* de RSC de manera insegura. Cuando un servidor recibe un *payload* malformado y especialmente diseñado, no valida la estructura correctamente. Esto permite que datos controlados por el atacante influyan en la lógica de ejecución del lado del servidor, lo que resulta en la ejecución de código JavaScript privilegiado. En nuestra experimentación, la explotación de esta vulnerabilidad tuvo una alta fidelidad, con una tasa de éxito cercana al 100% y puede ser aprovechada para una ejecución remota de código completa. El vector de ataque es no autenticado y remoto, requiriendo solo una solicitud HTTP especialmente diseñada al servidor objetivo. Afecta la configuración por defecto de *frameworks* populares. ## Datos de Wiz Research: ¿cuál es el riesgo para los entornos *cloud*? Los datos de Wiz indican que el 39% de los entornos *cloud* contienen instancias de Next.js o React en versiones vulnerables a CVE-2025-55182 y/o CVE-2025-66478\. En cuanto a Next.js, el *framework* en sí está presente en el 69% de los entornos. Cabe destacar que el 61% de esos entornos tienen aplicaciones públicas ejecutando Next.js, lo que significa que el 44% de todos los entornos *cloud* tienen instancias de Next.js expuestas públicamente. ## ¿Qué productos están afectados? React: 19.0.0, 19.1.0, 19.2.0 19.0.1, 19.1.2, and 19.2.1 Next.js: 14.3.0-canary, 15.x, and 16.x (App Router) 14.3.0-canary.88, 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7 Cualquier *framework* o librería que incluya la implementación de `react-server` es probablemente afectada. Esto incluye, pero no se limita a: - Next.js - Vite RSC plugin - Parcel RSC plugin - React Router RSC preview - RedwoodSDK - Waku ## ¿Qué acciones deben tomar los equipos de seguridad? 1. Actualizar React y las dependencias a las versiones reforzadas (ver arriba). Esta es la única mitigación definitiva. 2. Si utilizan otros *frameworks* habilitados para RSC (Redwood, Waku, etc.), revisen sus canales oficiales para obtener actualizaciones sobre la versión de `react-server` incluida y actualicen inmediatamente. ### Referencias - [*Blogpost* de React](https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components?ref=sredevops.org) - [Aviso de Vercel](https://vercel.com/changelog/cve-2025-55182?ref=sredevops.org) ### Fuentes - **Autores:** Gili Tikochinski, Merav Bar, Danielle Aminov - Original: [www.wiz.io/blog/critical-vulnerability-in-react-cve-2025-55182](https://www.wiz.io/blog/critical-vulnerability-in-react-cve-2025-55182?ref=sredevops.org)