Критическая ошибка React (CVE-2025-55182) угрожает тысячам крипто-платформ риском утечки токенов

Источник: CryptoNewsNet Оригинальный заголовок: The Protocol: Bug that can drain all your tokens impacting ‘thousands’ of sites Оригинальная ссылка:

Новости сети

Критическая уязвимость React представляет непосредственную угрозу крипто-платформам

Критическая уязвимость в React Server Components активно эксплуатируется несколькими группами злоумышленников, что ставит под угрозу тысячи веб-сайтов — включая крипто-платформы — с возможностью полного вывода средств у пользователей при наличии воздействия.

Дефект, зарегистрированный как CVE-2025-55182 и получивший название React2Shell, позволяет злоумышленникам выполнять удалённый код на затронутых серверах без аутентификации. Разработчики React сообщили о проблеме 3 декабря и присвоили ей максимально возможный уровень опасности.

Вскоре после раскрытия уязвимости исследователи безопасности зафиксировали массовую эксплуатацию как преступными группами с финансовой мотивацией, так и подозреваемыми группами, поддерживаемыми государством, нацеленной на непатченные приложения React и Next.js в облачных средах.

Как работает уязвимость

React Server Components используются для выполнения части веб-приложения непосредственно на сервере вместо браузера пользователя. Уязвимость связана с тем, как React декодирует входящие запросы к этим серверным функциям.

Проще говоря, злоумышленники могут отправить специально сформированный веб-запрос, который обманывает сервер и заставляет его выполнять произвольные команды, фактически передавая контроль над системой злоумышленнику.

Дефект затрагивает версии React 19.0 по 19.2.0, включая пакеты, используемые популярными фреймворками, такими как Next.js. Просто наличие уязвимых пакетов зачастую достаточно для эксплуатации.

Неотложные меры

Крипто-платформам и Web3-сервисам, использующим уязвимые версии React, следует немедленно применять патчи для снижения риска несанкционированного доступа и кражи активов.