You signed in with another tab or window. Reload to refresh your session.You signed out in another tab or window. Reload to refresh your session.You switched accounts on another tab or window. Reload to refresh your session.Dismiss alert
Copy file name to clipboardExpand all lines: src/content/blog/2025/12/03/critical-security-vulnerability-in-react-server-components.md
+66-67Lines changed: 66 additions & 67 deletions
Display the source diff
Display the rich diff
Original file line number
Diff line number
Diff line change
@@ -2,111 +2,110 @@
2
2
title: "Critical Security Vulnerability in React Server Components"
3
3
author: The React Team
4
4
date: 2025/12/03
5
-
description: There is an unauthenticated remote code execution vulnerability in React Server Components. A fix has been published in versions 19.0.1, 19.1.2, and 19.2.1. We recommend upgrading immediately.
6
-
5
+
description: Existe uma vulnerabilidade de execução remota de código não autenticada nos Componentes de Servidor React. Uma correção foi publicada nas versões 19.0.1, 19.1.2 e 19.2.1. Recomendamos a atualização imediata.
7
6
---
8
7
9
-
December 3, 2025 by [The React Team](/community/team)
8
+
3 de dezembro de 2025 por [A Equipe do React](/community/team)
10
9
11
10
---
12
11
13
12
<Intro>
14
13
15
-
There is an unauthenticated remote code execution vulnerability in React Server Components.
14
+
Existe uma vulnerabilidade de execução remota de código não autenticada nos Componentes de Servidor do React.
16
15
17
-
We recommend upgrading immediately.
16
+
Recomendamos a atualização imediata.
18
17
19
18
</Intro>
20
19
21
20
---
22
21
23
-
On November 29th, Lachlan Davidson reported a security vulnerability in React that allows unauthenticated remote code execution by exploiting a flaw in how React decodes payloads sent to React Server Function endpoints.
22
+
Em 29 de novembro, Lachlan Davidson relatou uma vulnerabilidade de segurança no React que permite a execução remota de código não autenticada, explorando uma falha na forma como o React decodifica payloads enviados para endpoints de Funções de Servidor do React.
24
23
25
-
Even if your app does not implement any React Server Function endpoints it may still be vulnerable if your app supports React Server Components.
24
+
Mesmo que seu aplicativo não implemente nenhum endpoint de Função de Servidor do React, ele ainda pode estar vulnerável se seu aplicativo suportar Componentes de Servidor do React.
26
25
27
-
This vulnerability was disclosed as[CVE-2025-55182](https://www.cve.org/CVERecord?id=CVE-2025-55182)and is rated CVSS 10.0.
26
+
Esta vulnerabilidade foi divulgada como[CVE-2025-55182](https://www.cve.org/CVERecord?id=CVE-2025-55182)e tem classificação CVSS 10.0.
28
27
29
-
The vulnerability is present in versions 19.0, 19.1.0, 19.1.1, and 19.2.0 of:
28
+
A vulnerabilidade está presente nas versões 19.0, 19.1.0, 19.1.1 e 19.2.0 de:
A fix was introduced in versions[19.0.1](https://github.com/facebook/react/releases/tag/v19.0.1), [19.1.2](https://github.com/facebook/react/releases/tag/v19.1.2), and[19.2.1](https://github.com/facebook/react/releases/tag/v19.2.1). If you are using any of the above packages please upgrade to any of the fixed versions immediately.
36
+
Uma correção foi introduzida nas versões[19.0.1](https://github.com/facebook/react/releases/tag/v19.0.1), [19.1.2](https://github.com/facebook/react/releases/tag/v19.1.2) e[19.2.1](https://github.com/facebook/react/releases/tag/v19.2.1). Se você estiver usando algum dos pacotes acima, atualize para qualquer uma das versões corrigidas imediatamente.
38
37
39
-
If your app’s React code does not use a server, your app is not affected by this vulnerability. If your app does not use a framework, bundler, or bundler plugin that supports React Server Components, your app is not affected by this vulnerability.
38
+
Se o código React do seu aplicativo não usa um servidor, seu aplicativo não é afetado por esta vulnerabilidade. Se seu aplicativo não usa um framework, bundler ou plugin de bundler que suporte Componentes de Servidor do React, seu aplicativo não é afetado por esta vulnerabilidade.
40
39
41
-
### Affected frameworks and bundlers {/*affected-frameworks-and-bundlers*/}
40
+
### Frameworks e bundlers afetados {/*affected-frameworks-and-bundlers*/}
42
41
43
-
Some React frameworks and bundlers depended on, had peer dependencies for, or included the vulnerable React packages. The following React frameworks & bundlers are affected: [next](https://www.npmjs.com/package/next), [react-router](https://www.npmjs.com/package/react-router), [waku](https://www.npmjs.com/package/waku), [@parcel/rsc](https://www.npmjs.com/package/@parcel/rsc), [@vitejs/plugin-rsc](https://www.npmjs.com/package/@vitejs/plugin-rsc), and[rwsdk](https://www.npmjs.com/package/rwsdk).
42
+
Alguns frameworks e bundlers do React dependiam, tinham dependências de pares ou incluíam os pacotes vulneráveis do React. Os seguintes frameworks e bundlers do React são afetados: [next](https://www.npmjs.com/package/next), [react-router](https://www.npmjs.com/package/react-router), [waku](https://www.npmjs.com/package/waku), [@parcel/rsc](https://www.npmjs.com/package/@parcel/rsc), [@vitejs/plugin-rsc](https://www.npmjs.com/package/@vitejs/plugin-rsc) e[rwsdk](https://www.npmjs.com/package/rwsdk).
44
43
45
-
See the [update instructions below](#update-instructions)for how to upgrade to these patches.
44
+
Veja as [instruções de atualização abaixo](#update-instructions)para saber como atualizar para esses patches.
### Visão geral da vulnerabilidade {/*vulnerability-overview*/}
54
53
55
-
[React Server Functions](https://react.dev/reference/rsc/server-functions)allow a client to call a function on a server. React provides integration points and tools that frameworks and bundlers use to help React code run on both the client and the server. React translates requests on the client into HTTP requests which are forwarded to a server. On the server, React translates the HTTP request into a function call and returns the needed data to the client.
54
+
[Funções de Servidor do React](https://react.dev/reference/rsc/server-functions)permitem que um cliente chame uma função em um servidor. O React fornece pontos de integração e ferramentas que frameworks e bundlers usam para ajudar o código React a ser executado tanto no cliente quanto no servidor. O React traduz requisições no cliente em requisições HTTP que são encaminhadas para um servidor. No servidor, o React traduz a requisição HTTP em uma chamada de função e retorna os dados necessários para o cliente.
56
55
57
-
An unauthenticated attacker could craft a malicious HTTP request to any Server Function endpoint that, when deserialized by React, achieves remote code execution on the server. Further details of the vulnerability will be provided after the rollout of the fix is complete.
56
+
Um invasor não autenticado poderia criar uma requisição HTTP maliciosa para qualquer endpoint de Função de Servidor que, ao ser desserializado pelo React, alcançasse a execução remota de código no servidor. Mais detalhes sobre a vulnerabilidade serão fornecidos após a conclusão da implantação da correção.
58
57
59
-
## Update Instructions {/*update-instructions*/}
58
+
## Instruções de atualização {/*update-instructions*/}
60
59
61
60
<Note>
62
61
63
-
These instructions have been updated to include the new vulnerabilities:
62
+
Estas instruções foram atualizadas para incluir as novas vulnerabilidades:
64
63
65
-
-**Denial of Service - High Severity**: [CVE-2025-55184](https://www.cve.org/CVERecord?id=CVE-2025-55184)and[CVE-2025-67779](https://www.cve.org/CVERecord?id=CVE-2025-67779) (CVSS 7.5)
66
-
-**Source Code Exposure - Medium Severity**: [CVE-2025-55183](https://www.cve.org/CVERecord?id=CVE-2025-55183) (CVSS 5.3)
67
-
-**Denial of Service - High Severity**: January 26, 2026 [CVE-2026-23864](https://www.cve.org/CVERecord?id=CVE-2026-23864) (CVSS 7.5)
64
+
-**Negação de Serviço - Alta Gravidade**: [CVE-2025-55184](https://www.cve.org/CVERecord?id=CVE-2025-55184)e[CVE-2025-67779](https://www.cve.org/CVERecord?id=CVE-2025-67779) (CVSS 7.5)
65
+
-**Exposição de Código Fonte - Média Gravidade**: [CVE-2025-55183](https://www.cve.org/CVERecord?id=CVE-2025-55183) (CVSS 5.3)
66
+
-**Negação de Serviço - Alta Gravidade**: 26 de janeiro de 2026 [CVE-2026-23864](https://www.cve.org/CVERecord?id=CVE-2026-23864) (CVSS 7.5)
68
67
69
-
See the [follow-up blog post](/blog/2025/12/11/denial-of-service-and-source-code-exposure-in-react-server-components)for more info.
68
+
Veja o [post de acompanhamento no blog](/blog/2025/12/11/denial-of-service-and-source-code-exposure-in-react-server-components)para mais informações.
70
69
71
70
-----
72
71
73
-
_Updated January 26, 2026._
72
+
_Atualizado em 26 de janeiro de 2026._
74
73
</Note>
75
74
76
75
### Next.js {/*update-next-js*/}
77
76
78
-
All users should upgrade to the latest patched version in their release line:
77
+
Todos os usuários devem atualizar para a versão corrigida mais recente em sua linha de lançamento:
79
78
80
79
```bash
81
-
npm install next@14.2.35 // for 13.3.x, 13.4.x, 13.5.x, 14.x
82
-
npm install next@15.0.8 // for 15.0.x
83
-
npm install next@15.1.12 // for 15.1.x
84
-
npm install next@15.2.9 // for 15.2.x
85
-
npm install next@15.3.9 // for 15.3.x
86
-
npm install next@15.4.11 // for 15.4.x
87
-
npm install next@15.5.10 // for 15.5.x
88
-
npm install next@16.0.11 // for 16.0.x
89
-
npm install next@16.1.5 // for 16.1.x
90
-
91
-
npm install next@15.6.0-canary.60 // for 15.x canary releases
92
-
npm install next@16.1.0-canary.19 // for 16.x canary releases
80
+
npm install next@14.2.35 // para 13.3.x, 13.4.x, 13.5.x, 14.x
81
+
npm install next@15.0.8 // para 15.0.x
82
+
npm install next@15.1.12 // para 15.1.x
83
+
npm install next@15.2.9 // para 15.2.x
84
+
npm install next@15.3.9 // para 15.3.x
85
+
npm install next@15.4.11 // para 15.4.x
86
+
npm install next@15.5.10 // para 15.5.x
87
+
npm install next@16.0.11 // para 16.0.x
88
+
npm install next@16.1.5 // para 16.1.x
89
+
90
+
npm install next@15.6.0-canary.60 // para releases canary 15.x
91
+
npm install next@16.1.0-canary.19 // para releases canary 16.x
If you are on version`13.3`or later version of Next.js 13 (`13.3.x`, `13.4.x`, or`13.5.x`) please upgrade to version`14.2.35`.
96
+
Se você estiver na versão`13.3`ou posterior do Next.js 13 (`13.3.x`, `13.4.x` ou`13.5.x`), atualize para a versão`14.2.35`.
98
97
99
-
If you are on`next@14.3.0-canary.77`or a later canary release, downgrade to the latest stable 14.x release:
98
+
Se você estiver em`next@14.3.0-canary.77`ou uma versão canary posterior, reverta para a versão estável mais recente da linha 14.x:
100
99
101
100
```bash
102
101
npm install next@14
103
102
```
104
103
105
-
See the [Next.js blog](https://nextjs.org/blog/security-update-2025-12-11)for the latest update instructions and the [previous changelog](https://nextjs.org/blog/CVE-2025-66478)for more info.
104
+
Veja o [blog do Next.js](https://nextjs.org/blog/security-update-2025-12-11)para as instruções de atualização mais recentes e o [changelog anterior](https://nextjs.org/blog/CVE-2025-66478)para mais informações.
106
105
107
106
### React Router {/*update-react-router*/}
108
107
109
-
If you are using React Router's unstable RSC APIs, you should upgrade the following package.json dependencies if they exist:
108
+
Se você estiver usando as APIs instáveis de RSC do React Router, deverá atualizar as seguintes dependências do `package.json`, se existirem:
To learn more about mitigating, read the article on[expo.dev/changelog](https://expo.dev/changelog/mitigating-critical-security-vulnerability-in-react-server-components).
120
+
Para saber mais sobre como mitigar, leia o artigo em[expo.dev/changelog](https://expo.dev/changelog/mitigating-critical-security-vulnerability-in-react-server-components).
122
121
123
122
### Redwood SDK {/*update-redwood-sdk*/}
124
123
125
-
Ensure you are on rwsdk>=1.0.0-alpha.0
124
+
Certifique-se de estar usando rwsdk>=1.0.0-alpha.0
126
125
127
-
For the latest beta version:
126
+
Para a versão beta mais recente:
128
127
129
128
```bash
130
129
npm install rwsdk@latest
131
130
```
132
131
133
-
Upgrade to the latest`react-server-dom-webpack`:
132
+
Atualize para a versão mais recente de`react-server-dom-webpack`:
For React Native users not using a monorepo or`react-dom`, your `react`version should be pinned in your `package.json`, and there are no additional steps needed.
185
+
Para usuários do React Native que não utilizam monorepo ou`react-dom`, sua versão do `react`deve estar fixada em seu `package.json`, e não há etapas adicionais necessárias.
187
186
188
-
If you are using React Native in a monorepo, you should update _only_ the impacted packages if they are installed:
187
+
Se você estiver usando React Native em um monorepo, você deve atualizar _apenas_ os pacotes impactados, se eles estiverem instalados:
189
188
190
189
-`react-server-dom-webpack`
191
190
-`react-server-dom-parcel`
192
191
-`react-server-dom-turbopack`
193
192
194
-
This is required to mitigate the security advisory, but you do not need to update `react`and`react-dom` so this will not cause the version mismatch error in React Native.
193
+
Isso é necessário para mitigar o aviso de segurança, mas você não precisa atualizar `react`e`react-dom`, então isso não causará o erro de incompatibilidade de versão no React Native.
195
194
196
-
See [this issue](https://github.com/facebook/react-native/issues/54772#issuecomment-3617929832)for more information.
195
+
Veja [este issue](https://github.com/facebook/react-native/issues/54772#issuecomment-3617929832)para mais informações.
***November 30th**: Meta security researchers confirmed and began working with the React team on a fix.
203
-
***December 1st**: A fix was created and the React team began working with affected hosting providers and open source projects to validate the fix, implement mitigations and roll out the fix
204
-
***December 3rd**: The fix was published to npm and the publicly disclosed asCVE-2025-55182.
200
+
***29 de novembro**: Lachlan Davidson relatou a vulnerabilidade de segurança através do[Meta Bug Bounty](https://bugbounty.meta.com/).
201
+
***30 de novembro**: Pesquisadores de segurança da Meta confirmaram e começaram a trabalhar com a equipe do React em uma correção.
202
+
***1º de dezembro**: Uma correção foi criada e a equipe do React começou a trabalhar com provedores de hospedagem afetados e projetos de código aberto para validar a correção, implementar mitigações e lançar a correção.
203
+
***3 de dezembro**: A correção foi publicada no npm e divulgada publicamente comoCVE-2025-55182.
205
204
206
-
## Attribution {/*attribution*/}
205
+
## Atribuição {/*attribution*/}
207
206
208
-
Thank you to [Lachlan Davidson](https://github.com/lachlan2k)for discovering, reporting, and working to help fix this vulnerability.
207
+
Obrigado a [Lachlan Davidson](https://github.com/lachlan2k)por descobrir, relatar e ajudar a corrigir esta vulnerabilidade.
0 commit comments