一、漏洞情况分析

React是用于构建用户界面的JavaScript库，由美国Meta公司开发维护。该库自2013年起开源，已成为全球流行的前端开发工具之一。

React Server Components（RSC）是React 18开始引入的一种渲染处理方式。RSC允许React组件在服务器端执行，并通过Flight协议将序列化的渲染结果，流式传输给客户端。RSC被Next.js、Shopify Hydrogen、Gatsby 5等主流框架广泛采用。RSC与其他渲染处理方式（客户端渲染、服务器端渲染）相比，大幅降低了客户端运行负载，加快了页面加载速度。

 2025年12月4日，国家信息安全漏洞共享平台收录了React Server Components远程代码执行漏洞。由于RSC服务器的react-server相关程序，在处理客户端的Flight协议数据时，缺少必要的安全校验，未经授权的攻击者可在远程条件下，通过构造恶意RSC请求发送至目标服务器，实现对服务器的远程代码执行，获取目标服务器权限。

CNVD对该漏洞的综合评级为“高危”。

二、漏洞影响范围

漏洞影响的产品版本包括：

1.React：

    React 19.0.0

    React 19.1.0

React 19.1.1

    React 19.2.0

2.使用RSC和App Router的Next.js：

    Next.js v15.0.0-15.0.4

    Next.js v15.1.0-15.1.8

    Next.js v15.2.x-15.5.6

  Next.js v16.0.0-16.0.6

    Next.js v14.3.0-canary.77及以上Canary版本

3.Dify、NextChat等依赖React的产品。

三、漏洞处置建议

目前，React和Next.js已发布新版本修复该漏洞，CNVD建议受影响用户尽快进行自查，并立即通过官方链接（下载源）更新至版本：

https://react.dev/blog/2025/12/03/critical-security-vulnerability-inreact-server-components

https://nextjs.org/blog/CVE-2025-66478