React2Shell (CVE-2025-55182)：ReactServer 中的严重远程代码执行漏洞

CVE-2025-55182 是 ReactServer 中一个关键性的、无需身份验证的远程代码执行漏洞，其 CVSS 评分为 10.0——这是最高级别的严重性评级。 作为OPSWAT 研究员计划的一部分，我们的研究员对该漏洞进行了全面的技术分析，深入探究了其根源（即 React Flight 反序列化协议中的缺陷）、完整的利用链，以及该漏洞对现代网络生态系统造成的广泛影响。本文将介绍我们的研究发现，并为安全防御人员提供切实可行的应对建议。

React 已成为全球应用最广泛的前端库之一，为大量现代 Web 和mobile 提供支持。 Stack Overflow 的开发者调查始终将 React 列为顶级 Web 框架之一，其采用率在全球专业开发者中超过 40%。随着这一增长，React 团队推出了 ReactServer （RSC）作为 React 19 的核心功能——这一范式转变将渲染逻辑从客户端转移到服务器端，从而实现了性能优化，并加强了服务器端与客户端代码之间的集成。

然而，这种架构演进引入了一个关键的新攻击面。2025年11月29日，安全研究员拉克兰·戴维森（Lachlan Davidson）向Meta的漏洞赏金计划报告了React服务器端反序列化逻辑中存在的一个漏洞。该漏洞于2025年12月3日以CVE-2025-55182的编号公开披露，攻击者仅需发送一个精心构造的HTTP请求，即可实现未经身份验证的远程代码执行。 该漏洞被归类为CWE-502（不受信任数据的反序列化），无需身份验证、用户交互或特殊应用配置——任何为生产环境构建的默认create-next-app部署均可立即被利用。

React 是一个用于构建用户界面的 JavaScript 库，由 Meta 及广泛的开源社区共同维护。 React 19 引入的 ReactServer （RSC）标志着 React 应用程序处理渲染方式的根本性转变。与完全在浏览器中执行的传统客户端组件不同，服务器组件在服务器端执行，生成 UI 的序列化表示，并将其流式传输至客户端。这种设计减少了发送到浏览器的 JavaScript 代码量，提升了交互响应时间指标，并支持直接访问数据库和文件系统等服务器端资源。

When a client invokes a Server Function, the browser sends an HTTP POST request with a multipart/form-data body. Each form field contains a numbered “chunk” of serialized data. The Flight protocol uses special string prefixes to encode data types: $<id> references the resolved value of another chunk, $@<id> references the raw chunk object itself, $W<id> represents a Set, $K<id> represents FormData, and $B<id> triggers the blob handler.

假设有一个定义如下所示的Server ：

相应的 HTTP 请求包含多个表单字段，每个字段由一个键和一个值组成：字段 0 包含包含诸如"$W1"和"$K2" 等引用项的参数数组，而字段1和2_*则包含这些引用所解析出的数据。服务器会在每个字段到达时进行处理，并将中间结果存储在称为“chunks”的对象中。

一个块（chunk）是一个可进行 then 操作的 对象，具有四个关键属性：status（解析状态）、value（存储的数据）、reason（错误信息）和 _response（对父响应对象的反向引用）。 当服务器遇到 await chunk 时，将调用该数据块的.then()方法。如果数据块的状态为 INITIALIZED，则 resolve 回调将接收 chunk.value。如果状态为 PENDING、BLOCKED 或 CYCLIC，则回调将被排队以供稍后执行。

下文将详细说明 Next.js 在正常情况下如何处理传入的Server 请求，从 HTTP 层一直到 React Flight 反序列化引擎。

当调用Server 时，请求会进入 handleAction 函数。该函数会验证元数据、检查请求头和 CSRF 令牌，并确认该请求是一个有效的 fetch 操作。 随后会创建一个名为busboyStream 的流来解析多部分表单主体。decodeReplyFromBusboy函数将事件发射器绑定到该流上，当接收到原始数据时，会触发 ReactServer反序列化处理函数。decodeReplyFromBusboy 的返回值为chunk_0；await 运算符将其解析，并将组装好的值传递给被调用的Server 。

getChunk 函数返回与给定 ID 对应的数据块。如果该数据块尚不存在，它会创建一个ResolvedModelChunk（如果 response._formData 中已有数据），或者创建一个 PendingChunk（如果该 ID 的数据尚未到达）。

当 decodeReplyFromBusboy 返回 chunk_0 时，该分块仍处于 PENDING 状态。await 运算符会调用 chunk_0.then()，并将 resolve 和 reject 回调函数临时存储在 chunk_0.value 和 chunk_0.reason 中。一旦引用解析完成，wakeChunk 函数会重新激活这些回调函数。

当 busboyStream 接收到完整的原始数据字段时，它会触发“field”事件发射器，调用 resolveField 函数，并启动反序列化过程——即将原始表单数据转换为完整的 JavaScript 对象。以下函数负责管理此过程。

resolveField(response, key, value)

键和值会被追加到 response._formData 中。随后，该函数会检索与该键对应的 ID 所对应的数据块。如果该数据块已存在，则会调用 resolveModelChunk 来重建它。这种延迟解析是必要的，因为值中可能包含对某些字段的引用，而这些字段的原始数据尚未到达；在这种情况下，ReactServer 一个带有自定义 resolve 和 reject 回调的 PendingChunk，以便稍后处理这些引用。

resolveModelChunk(chunk, value, id)

resolveModelChunk 会创建一个处于 RESOLVED_MODEL 状态的 ResolvedModelChunk，并注入原始数据。随后，它通过 initializeModelChunk 重建该数据块，并调用 wakeChunk 来触发任何已排队的 resolve 和 reject 回调，从而完成对象或引用的解析。

initializeModelChunk(chunk)

initializeModelChunk 会将块的状态切换为 CYCLIC（表示正在进行引用解析），并开始反序列化。它使用 JSON.parse 方法根据 chunk.value 构建一个原始 JavaScript 对象，然后将该对象传递给 reviveModel 函数。

reviveModel(响应, 父对象, 父键, 值, 引用)

reviveModel 会递归处理已解析对象中的每个组件。当遇到字符串值时，它会调用 parseModelString 来处理该值。

parseModelString(response, obj, key, value, reference)

parseModelString 根据字符串前缀进行分派，以处理不同编码类型的引用。对于以 $ 开头的引用，将调用 getOutlinedModel 函数来解析跨块引用。

getOutlinedModel(response, reference, parentObject, key, map)

CVE-2025-55182 originates from insufficient input validation in the getOutlinedModel() function within React’s server-side Flight reply handler (ReactFlightReplyServer.js). When a chunk reference includes a property path - such as $<id>:<prop1>:<prop2> - the function resolves it by traversing the specified properties on the target chunk object, computing the result as chunk[prop1][prop2].

关键漏洞在于，这些属性名称从未经过验证。 服务器不会验证请求的属性是对象自身的属性，还是继承自原型的属性。因此，攻击者可以在属性路径中包含__proto__，从而遍历原型链并访问那些本不应通过用户控制的输入访问的内部方法。例如，引用 $1:__proto__:then 会被解析为 Chunk.prototype.then——攻击者随后可以使用受控参数调用该函数。

该利用链利用了 React 的 Flight 反序列化逻辑中的两条不同代码路径。

首先是 Chunk.prototype.then，它控制着块作为 thenable 对象的行为。当 await 应用于处于 INITIALIZED 状态的块时，会调用 resolve(chunk.value)。如果 chunk.value 本身是一个 thenable（即具有.then()方法的对象），则 await 运算符会递归调用 chunk.value.then()。正是通过这种递归解析机制，攻击者才能将执行流程重定向到任意函数。

第二个是 parseModelString() 函数中的 $B（blob）前缀处理程序：

在 $B 情况下，该函数调用了 response._formData.get(response._prefix + id)。_formData.get 和 _prefix 都是存储在片段内的 _response 对象的属性。通过遍历原型链来控制这些属性，攻击者可以将此调用重定向，从而调用全局 Function 构造函数，并将其任意代码作为参数传入。

Through prototype chain traversal, an attacker reaches the global Function constructor via the path <any_object>.constructor.constructor. Because Chunk.prototype.then is a function, the path $1:constructor:constructor resolves to the global Function constructor, which accepts a string and returns a callable function containing that code.

为了展示其潜在的实际影响，我们的研究员构建了一个概念验证有效载荷，该有效载荷与多个安全研究团队独立记录的分析结果一致。该漏洞利用分为两个阶段：

第一阶段——构建伪块：

The object delivered in field 0 acts as a fake chunk. Its then property is set to Chunk.prototype.then via the reference path $1:__proto__:then, allowing the Flight deserialization engine to invoke prototype-level behavior on this attacker-constructed object. The _response._formData.get property is pointed at the global Function constructor via $1:constructor:constructor, and _response._prefix is set to the malicious JavaScript code. The value field contains the string {"then": "$B0"}, instructing the blob handler to invoke itself on the same chunk when resolved. The status field is set to resolved_model so that initializeModelChunk is triggered when .then() is called, causing value to be parsed and the blob handler to fire.

由于此时尚未收到字段 1，ReactServer 会Server 创建 resolve 和 reject 回调函数来处理该待处理的引用。

第二阶段——触发器解析：

一旦字段 1（其中包含“$@0”，即对块 0 的原始引用）被传递，待处理的块就会解析并直接指向该伪块。这会触发 wakeChunk，该方法会处理队列中的回调函数，并在引用解析过程中启动原型链遍历。 一旦伪块完全解析完成，wakeChunk 会被再次调用。由于伪块的解析回调是隐含的 Node.js 解析函数，它会调用该块的 .then() 方法并解析其值——最终通过 Function 构造函数构建并执行注入的恶意代码。

完整的漏洞利用仅需一个HTTP请求：

我们的研究员在受控的实验室环境中，使用通过 create-next-app 生成的标准 Next.js 应用程序（已构建为生产环境版本）成功复现了该漏洞，且未对默认配置进行任何修改。复现结果证实，上述单次请求利用有效载荷能够可靠地实现远程代码执行。

React 团队于 2025 年 12 月 3 日发布了补丁——即该漏洞公开披露的当天。已修复的版本包括 React 19.0.1、19.1.2 和 19.2.1。 该补丁在 getOutlinedModel() 和 reviveModel() 方法中添加了严格的属性验证机制，明确阻止从 Flight 有效负载中用户控制的引用路径解析继承的原型属性——包括 __proto__、constructor 和 prototype。

各组织应立即采取以下措施：

1. 请根据实际情况运行 npm install react-server-dom-webpack@latest、react-server-dom-parcel@latest 或react-server-dom-turbopack@latest，将 React 包升级至已修复的版本（19.0.1、19.1.2 或 19.2.1）。
2. 升级框架依赖项——Next.js、React Router、Waku 及其他受影响的框架均已发布相应的补丁。有关具体版本的升级路径，请参阅 React 团队的公告。
3. 请不要仅依赖托管服务商的缓解措施——尽管Vercel等服务商在漏洞披露后部署了临时WAF规则，但这些只是权宜之计，不能替代对底层软件包的修补。
4. 检查服务器日志中带有 Next-Action 标头的 POST 请求，这些请求的正文为 multipart/form-data 格式且包含 $@ 或 __proto__ 模式，同时监控应用程序日志中是否存在意外的 child_process 或 execSync 调用。

OPSWAT 是 MetaDefender™ 平台的一项专有技术，可提供抵御 CVE-2025-55182 等漏洞所需的可视性和控制能力。 由于该漏洞存在于开源 npm 包（react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopack）中，企业必须首先全面盘点这些组件在整个基础设施中的部署情况，才能进行有效的修复。