React Server Components'te kimlik doğrulamasız kritik RCE: react-server-dom paketleri 19.x hatlarında güncellenmeli
React ekibinin GHSA-xqc2-xf4c-x3h3 bildirimi, react-server-dom-webpack, -parcel ve -turbopack paketlerinde oturum açmadan sunucuda kod çalıştırmaya izin veren bir açığı (CVSS v4 9.5) duyuruyor. Düzeltmeler 19.0.9, 19.1.10, 19.2.9 ve 19.3.1 sürümlerinde.
CVE-2025-55182
React ekibi, React Server Components (RSC) altyapısını sağlayan üç npm paketinde kimlik doğrulaması gerektirmeyen bir uzaktan kod çalıştırma (RCE) açığı için GHSA-xqc2-xf4c-x3h3 bildirimini yayımladı. Bildirim kritik olarak işaretlendi; CVSS v4.0 puanı 9.5. Açığın henüz bir CVE kimliği yok. Bildirim 14 Ekim tarihli olsa da güvenlik basını konuyu bu hafta yeniden gündeme taşıdı ve birçok projede bağımlılıkların hâlâ güncellenmediği görülüyor.
Bildirime göre ağ üzerinden, oturum açmadan erişen bir saldırgan, savunmasız sürümü çalıştıran sunucuda kod çalıştırabiliyor. Üretici ve kaynaklar şu an için aktif istismar ya da kamuya açık PoC bildirmiyor. Bu açık, Aralık 2025'teki React2Shell (CVE-2025-55182) ile aynı sorun değil; o açığın sürüm listeleri burada geçerli değil.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| react-server-dom-webpack | 19.0.0–19.0.8, 19.1.0–19.1.9, 19.2.0–19.2.8, 19.3.0 | 19.0.9, 19.1.10, 19.2.9, 19.3.1 |
| react-server-dom-parcel | 19.0.0–19.0.8, 19.1.0–19.1.9, 19.2.0–19.2.8, 19.3.0 | 19.0.9, 19.1.10, 19.2.9, 19.3.1 |
| react-server-dom-turbopack | 19.0.0–19.0.8, 19.1.0–19.1.9, 19.2.0–19.2.8, 19.3.0 | 19.0.9, 19.1.10, 19.2.9, 19.3.1 |
Bildirim belirli bir framework adı ve framework sürümü vermiyor; RSC destekleyen framework'lerin etkilendiğini söylüyor. Kullandığınız framework'ün düzeltilmiş sürümü için o projenin kendi güvenlik bildirimine ve sürüm notlarına bakın.
Beni etkiliyor mu?
Sunucu tarafı olmayan ya da RSC destekleyen bir framework, bundler veya bundler eklentisi kullanmayan uygulamalar bildirime göre etkilenmiyor. Projede bu paketlerin hangi sürümünün çözümlendiğini lockfile üzerinden kontrol edin:
grep -n "react-server-dom" package-lock.json
grep -n "react-server-dom" pnpm-lock.yaml yarn.lockYalnızca kaynak koda değil, üretimde çalışan imaj ya da derleme çıktısına da bakın; eski bir imaj güncel lockfile'a rağmen savunmasız sürümü taşıyabilir.
Ne yapılmalı?
- RSC kullanan tüm uygulamalarda üç paketi kullandığınız hattın düzeltilmiş sürümüne (19.0.9, 19.1.10, 19.2.9 veya 19.3.1) yükseltin; React ekibi hemen güncellemeyi öneriyor.
- Framework kullanıyorsanız framework'ün bu bildirimi kapsayan sürümüne geçin ve dolaylı bağımlılık olarak gelen paket sürümünün de yükseldiğini lockfile'da doğrulayın.
- Uygulamayı yeniden derleyip yeniden deploy edin; çalışan konteyner ve sunucuların yeni sürümü taşıdığını kontrol edin.
- Bildirimde workaround yok; patch hemen uygulanamıyorsa internete açık RSC uç noktalarının erişimini daraltmayı ve sunucu süreçlerinde beklenmeyen alt süreç oluşumunu izlemeyi değerlendirin.
- Değişikliği change management sürecinize acil bağımlılık güncellemesi olarak kaydedin; CVE atanınca tarayıcı ve SCA araçlarınızın eşleşmesini yeniden kontrol edin.
