React Server Components: שתי פרצות חדשות, מניעת שירות וחשיפת קוד מקור

ב-11 בדצמבר 2025 פרסם צוות React שתי פרצות חדשות ב-React Server Components: מניעת שירות בדרגה גבוהה וחשיפת קוד מקור. החוקרים גילו אותן כשניסו לעקוף את התיקון ל-React2Shell, הפרצה הקריטית CVE-2025-55182. לפי הצוות, אף אחת מהן לא מאפשרת הרצת קוד מרחוק.

אם האתר או האפליקציה שלכם משתמשים ב-Next.js עם App Router, הדבר רלוונטי אליכם. CISA הוסיפה את React2Shell לקטלוג החולשות המנוצלות כבר ב-5 בדצמבר 2025. לכן אי אפשר לדחות את העדכון.

שתי הפרצות החדשות ב-React Server Components

הראשונה היא CVE-2025-55184, מניעת שירות בדרגה גבוהה, עם CVSS של 7.5. תוקף שולח בקשת HTTP שעוצבה בזדון אל נקודת קצה של Server Functions. כש-React מפענחת את הבקשה, היא נכנסת ללולאה אינסופית. התהליך נתקע והמעבד נשאר עמוס.

גם אפליקציה בלי נקודות קצה משלה של Server Functions עלולה להיות חשופה. מספיק שהיא תומכת ב-React Server Components.

השנייה היא CVE-2025-55183, חשיפת קוד מקור בדרגה בינונית, עם CVSS של 5.3. בקשה זדונית יכולה לגרום ל-Server Function להחזיר את קוד המקור של כל Server Function. התנאי הוא שקיימת פונקציה שמחזירה ארגומנט כמחרוזת, במפורש או בעקיפין.

רק סודות שנכתבו ישירות בקוד עלולים לדלוף. משתנים כמו process.env.SECRET, שנקראים בזמן ריצה, לא נחשפים. החשיפה מוגבלת לקוד של הפונקציה ולפונקציות שה-bundler שילב בתוכה.

מי חשוף ב-React Server Components ומה לעדכן

הפרצות קיימות באותן חבילות שנפגעו ב-React2Shell. אלה שלוש חבילות מהמשפחה react-server-dom, בגרסאות webpack, parcel ו-turbopack. הן חשופות בגרסאות 19.0.0 עד 19.0.2, 19.1.0 עד 19.1.3 ו-19.2.0 עד 19.2.2.

התיקונים הם 19.0.3, 19.1.4 ו-19.2.3. הגרסאות 19.0.2, 19.1.3 ו-19.2.2 פורסמו תחילה באותו יום, אבל הן לא מספיקות. באותו יום מצא הצוות מקרה מניעת שירות נוסף, CVE-2025-67779, וסגר גם אותו.

המסגרות שמושפעות הן Next.js, React Router, Waku, Parcel RSC, תוסף ה-RSC של Vite ו-RWSDK. אפליקציה בלי שרת, או בלי מסגרת שתומכת ב-React Server Components, לא חשופה.

ב-Next.js הפרצות פוגעות באפליקציות App Router. אפליקציות Pages Router לא חשופות, אבל Next.js ממליצה לעדכן גם אותן. אין פתרון עוקף, ורק שדרוג מטפל בבעיה.

הגרסאות המתוקנות של Next.js הן 14.2.35, 15.0.7, 15.1.11, 15.2.8, 15.3.8, 15.4.10, 15.5.9 ו-16.0.10. Next.js 13.3 ומעלה וגם 14.x חשופות רק למניעת שירות. הן צריכות לעבור ל-14.2.35.

Vercel הפעילה בלי עלות כללי WAF לכל הפרויקטים שלה. היא מזהירה שהכללים לא מבטיחים הגנה מכל הווריאנטים. גם צוות React מבקש לא להסתמך על פתרונות של חברות אירוח.

למה React Server Components חוזרת לכותרות

צוות React מסביר שפרצה קריטית מושכת חוקרים לבדוק נתיבי קוד סמוכים. הם מחפשים דרך לעקוף את התיקון הראשון. לדבריו, זה קרה גם אחרי Log4Shell.

הצוות רואה בכך סימן לתהליך תגובה בריא, אבל המשמעות המעשית ברורה. מי שעדכן אחרי ההודעה על React2Shell, ב-3 בדצמבר 2025, צריך לעדכן שוב. בנוסף, לא כל אפליקציה משתמשת ישירות ב-React Server Components, ולכן כדאי לבדוק גם תלויות עקיפות.

עוד ב-GEEKLIK: Axios נפרצה ב-npm: גרסאות זדוניות התקינו נוזקה, ו-Google מצביעה על צפון קוריאה

מה קרה מאז

ב-26 בינואר 2026 עדכן צוות React את הפוסט שלו. לפי העדכון, הצוות מצא מקרי מניעת שירות נוספים, שתועדו כ-CVE-2026-23864. הוא מציין שגם התיקון המקורי ל-CVE-2025-55184 לא היה שלם. הגרסאות הבטוחות לפי העדכון הן 19.0.4, 19.1.5 ו-19.2.4.