Уязвимость в RSC (версии 19.0.0, 19.1.0, 19.1.1, 19.2.0) позволяет удаленное выполнение кода без аутентификации через небезопасную десериализацию payload’ов в Server Function endpoints.
Затронутые пакеты:
react-server-dom-parcel
react-server-dom-turbopack
react-server-dom-webpack
🚨 CVE-2025-66478 затрагивает Next.js начиная с 14.3.0-canary.77, все ветки 15.x и 16.x до патчей.
Безопасные версии: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7.
🔬 PoC / инструменты:
анализ и эксплойт
сканер для выявления уязвимых инстансов
PoC 1
PoC 2
Лаборатория для тестов
Nuclei templates:
versions.yaml
cve-2025-55182.yaml
