Дата публикации:
Описание
Уязвимость позволяет неаутентифицированному пользователю выполнять произвольный код на уязвимом сервере через отправку предварительно сформированного HTTP-запроса на сервис с React Server Components. В случае успешной эксплуатации злоумышленник может получить разные возможности — от чтения произвольных файлов до выполнения команд ОС.
Эксплуатация возможна из-за небезопасной десериализации ввода к конечным точкам серверных функций в React Server Components и использования функций, связанных с выполнением команд ОС.
Рейтинг
Уязвимость получила оценку 10 по CVSS 3.1.
Уязвимые версии и продукты
React Server Components версий 19.0.0, 19.1.0, 19.1.1. и 19.2.0, включая следующие пакеты: react-server-dom-parcel, react-server-dom-turbopack, react-server-dom-webpack.
Рекомендации
Специалисты центра мониторинга и реагирования на киберугрозы UserGate рекомендуют пользователям выполнить следующие действия:
- Обновить пакеты react-server-dom-webpack до версии 19.2.0 или выше, react-server-dom-turbopack — до версии 19.2.0 или выше, Next.js — до версии 15.0.5 или выше;
- Проверить актуальность подписки на модуль Security Updates в UserGate NGFW и наличие пакета OWASP TOP 10 в UserGate WAF;
- Добавить в профиль защиты UserGate WAF в слое Server Side Code Injection правила React Server Components RCE (React2Shell) (1) и React Server Components RCE (React2Shell) (2);
- Добавить в профиль IDPS сигнатуру React Server Components RCE (React2Shell).
