Fiche CVE · CVE-2025-55182
CVE-2025-55182 : Exécution de code à distance dans Meta React Server Components
Meta React Server Components contient une vulnérabilité d'exécution de code à distance qui pourrait permettre une exécution de code à distance par un attaquant non authentifié, en exploitant une faille dans la manière dont React décode les charges utiles envoyées aux points de terminaison React Server Function. Veuillez noter que l'identifiant CVE-2025-66478 a été rejeté, mais qu'il est associé à la CVE-2025-55182.
- Exploitation active confirmée : ajoutée au catalogue KEV de la CISA le 5 décembre 2025.
- Utilisée par des rançongiciels, selon la CISA.
- Échéance de correction fixée aux administrations fédérales américaines : 12 décembre 2025.
- Alerte du CERT-FR CERTFR-2025-ALE-014 du 5 décembre 2025.
Description de la CISA, traduite par IA.
Alertes et avis du CERT-FR
-
CERTFR-2025-ALE-014[MàJ] Vulnérabilité dans React Server Components (05 décembre 2025)
Que faire
- Vérifiez si votre parc contient Meta React Server Components, y compris les équipements exposés sur Internet.
- Appliquez le correctif ou les mesures de l’éditeur (références ci-dessous). À défaut, isolez le produit ou cessez de l’utiliser, comme la CISA le demande aux administrations américaines.
- Une faille exploitée a souvent servi avant d’être corrigée : recherchez des traces de compromission, en particulier sur les équipements exposés.