- Aktif istismar
- CWE-502
CVE-2025-55182
React Server Components'ta kimlik doğrulamasız uzaktan kod çalıştırma açığı
Meta react-server-dom-parcelMeta react-server-dom-turbopackMeta react-server-dom-webpack
- Yayımlandı
- Güncellendi
- 18 Eki 2026
- Açık yaşı
- 329 gün
- Kaydı açan
- Meta
Yönetici özeti
Bu açık, internetten erişilebilen React tabanlı uygulamalarda saldırganın herhangi bir giriş yapmadan sunucuyu ele geçirmesine izin verebiliyor. Açığın aktif olarak saldırılarda kullanıldığı doğrulandığı için acil ele alınması gerekiyor. Etkilenen sürümleri kullanan sistemler gecikmeden belirlenip güvenli duruma getirilmelidir.
ÖzetTürkçe
React Server Components'ın 19.0.0, 19.1.0, 19.1.1 ve 19.2.0 sürümlerinde, Server Function uç noktalarına gelen HTTP isteklerindeki veriler güvensiz biçimde seri durumdan çıkarılıyor (CWE-502). Sorun react-server-dom-parcel, react-server-dom-turbopack ve react-server-dom-webpack paketlerini etkiliyor. Saldırgan kimlik doğrulaması yapmadan, ağ üzerinden özel hazırlanmış bir istek göndererek açığı tetikleyebilir. Açık CISA KEV listesinde yer alıyor ve aktif olarak istismar ediliyor.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan etkilenen sunucuda uzaktan kod çalıştırabilir ve sistemin gizliliğini, bütünlüğünü ve erişilebilirliğini tamamen ele geçirebilir. CVSS puanı 10 (kritik) olup değişen kapsam nedeniyle sunucu dışındaki bileşenler de etkilenebilir.
Kaynaktaki açıklama (İngilizce)
A pre-authentication remote code execution vulnerability exists in React Server Components versions 19.0.0, 19.1.0, 19.1.1, and 19.2.0 including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. The vulnerable code unsafely deserializes payloads from HTTP requests to Server Function endpoints.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Uygulamalarınızda react-server-dom-webpack, react-server-dom-turbopack ve react-server-dom-parcel paketlerinin 19.0.0, 19.1.0, 19.1.1 veya 19.2.0 sürümlerini kullanıp kullanmadığınızı (doğrudan veya bir çatı/framework üzerinden) envanterinizden kontrol edin. Genel öneri
- Satıcının yayımladığı düzeltilmiş sürümlere ve yönergelere göre etkilenen paketleri güncelleyin; ardından uygulamayı yeniden derleyip dağıtın. Verilerde belirli bir düzeltme sürümü numarası yer almadığından güncel sürüm bilgisi için satıcının resmi duyurusuna bakın. Genel öneri
- CISA gereği: satıcı talimatlarına göre önlemleri uygulayın, bulut hizmetleri için geçerli BOD 22-01 yönergelerini izleyin; önlemler uygulanamıyorsa ürünün kullanımını durdurun. CISA
- Güncelleme hemen yapılamıyorsa etkilenen uygulamaya internetten gelen erişimi kısıtlayın veya Server Function uç noktalarına giden istekleri geçici olarak engelleyin. Genel öneri
Ek önlemler
- Sunucu loglarında Server Function uç noktalarına gelen olağan dışı veya hatalı biçimli POST isteklerini ve beklenmedik süreç oluşumlarını izleyin. Genel öneri
- Güncelleme öncesinde sistemin ele geçirilmiş olabileceğini varsayarak anormal süreçleri, yeni kullanıcıları ve zamanlanmış görevleri kontrol edin; gerekirse gizli anahtarları ve kimlik bilgilerini yenileyin. Genel öneri
- Uygulama sunucusunu en az yetkiyle çalıştırın ve ağ segmentasyonu ile iç sistemlere erişimi sınırlayın. Genel öneri
- Bağımlılık taraması ve otomatik güncelleme araçlarıyla bu tür paketlerdeki açıkları erken tespit edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Meta react-server-dom-parcel | ≥ 19.0.0, ≤ 19.0.0 | – |
| ≥ 19.1.0, ≤ 19.1.1 | – | |
| ≥ 19.2.0, ≤ 19.2.0 | – | |
| Meta react-server-dom-turbopack | ≥ 19.0.0, ≤ 19.0.0 | – |
| ≥ 19.1.0, ≤ 19.1.1 | – | |
| ≥ 19.2.0, ≤ 19.2.0 | – | |
| Meta react-server-dom-webpack | ≥ 19.0.0, ≤ 19.0.0 | – |
| ≥ 19.1.0, ≤ 19.1.1 | – | |
| ≥ 19.2.0, ≤ 19.2.0 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- openwall.com/lists/oss-security/2025/12/03/4 Yama
- news.ycombinator.com/item Üçüncü taraf
- aws.amazon.com/…ploit-react2shell-vulnerability-cve-2025-55182 Üçüncü taraf
- facebook.com/security/advisories/cve-2025-55182 Diğer
- react.dev/…urity-vulnerability-in-react-server-components Diğer
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
- github.com/vercel-labs/fix-react2shell-next Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.