Sviluppatori e amministratori di tutto il mondo stanno aggiornando urgentemente i propri server a seguito della scoperta di una vulnerabilità critica in React Server, che consente agli aggressori di eseguire codice non autenticato da remoto con una singola richiesta HTTP. L’exploit è ora disponibile al pubblico e il problema ha ricevuto il punteggio di gravità più alto, 10 su 10, sul CVSS.
React viene utilizzato attivamente sui server per accelerare il rendering di JavaScript e dei contenuti: invece di ricaricare completamente la pagina a ogni richiesta, ridisegna solo le parti modificate dell’interfaccia. Ciò consente un notevole risparmio di risorse e migliora le prestazioni dell’applicazione. Si stima che React sia utilizzato da circa il 6% di tutti i siti web e da circa il 39% degli ambienti cloud, quindi la vulnerabilità interessa un’ampia fetta dell’infrastruttura.
Gli specialisti di Wiz riferiscono che lo sfruttamento richiede una sola richiesta HTTP appositamente predisposta e i loro test hanno mostrato un tasso di successo “quasi del 100%”. Un ulteriore rischio è rappresentato dal fatto che molti framework e librerie popolari integrano React Server di default. Di conseguenza, anche le applicazioni che non utilizzano direttamente le funzionalità di React, ma il cui livello di integrazione richiama comunque codice vulnerabile, possono essere vulnerabili.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
È la combinazione tra l’ampia adozione di React, la facilità di sfruttamento e il potenziale di completa acquisizione del server che ha portato al suo più alto livello di gravità. Sui social media, esperti di sicurezza e sviluppatori stanno esortando gli sviluppatori ad aggiornare senza indugio. “Di solito non lo dico, ma risolvetelo subito, accidenti “, scrive un esperto, sottolineando che la vulnerabilità di React, CVE-2025-55182, è un “10 perfetto”.
Sono interessate le versioni 19.0.1, 19.1.2 e 19.2.1 di React. Anche i componenti di terze parti che utilizzano React Server Components sono vulnerabili: i plugin Vite RSC e Parcel RSC, la versione pre-release di React Router RSC, RedwoodSDK, Waku e Next.js. La vulnerabilità per Next.js è tracciata separatamente con l’identificatore CVE-2025-66478.
Secondo Wiz e Aikido, il problema deriva dalla deserializzazione non sicura in Flight, il protocollo utilizzato nei componenti server di React. La deserializzazione è il processo di conversione di stringhe, flussi di byte e altri dati “serializzati” in oggetti e strutture in memoria. Se questo processo viene implementato in modo errato, un aggressore potrebbe iniettare dati appositamente creati che altererebbero la logica di esecuzione del codice lato server.
Gli sviluppatori di React hanno già rilasciato aggiornamenti che rafforzano la convalida dei dati in entrata e rendono più efficace il comportamento di deserializzazione per prevenire tali attacchi.
Wiz e Aikido raccomandano vivamente ad amministratori e sviluppatori di aggiornare React e tutte le dipendenze che lo utilizzano il prima possibile e di seguire attentamente le raccomandazioni dei responsabili dei framework e dei plugin sopra menzionati. Aikido consiglia inoltre di cercare informazioni sull’utilizzo di React nel codice sorgente e nei repository del progetto e di assicurarsi che tutti i componenti potenzialmente vulnerabili siano stati patchati.
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cyber Italia
Innovazione
Cybercrime
Cybercrime
Innovazione