Lỗ hổng trong React RSC cho phép tấn công từ chối dịch vụ (DoS) và lộ mã nguồn

[T-X]

Nhóm phát triển React đã phát hành các bản vá lỗi cho hai loại lỗ hổng mới trong React Server Components (RSC) mà nếu bị khai thác thành công có thể dẫn đến tấn công từ chối dịch vụ (DoS) hoặc lộ mã nguồn.

Nhóm nghiên cứu cho biết các vấn đề này được cộng đồng bảo mật phát hiện khi cố gắng khai thác các bản vá được phát hành cho CVE-2025-55182 (điểm CVSS: 10.0), một lỗi nghiêm trọng trong RSC mà sau đó đã bị lợi dụng để tấn công mạng.

Ba lỗ hổng bảo mật được liệt kê bên dưới:

    CVE-2025-55184 (điểm CVSS: 7.5) - Lỗ hổng từ chối dịch vụ trước khi xác thực phát sinh từ việc giải mã dữ liệu không an toàn từ các yêu cầu HTTP đến các điểm cuối của Chức năng Máy chủ, gây ra vòng lặp vô hạn làm treo tiến trình máy chủ và có thể ngăn chặn việc phục vụ các yêu cầu HTTP trong tương lai.
    CVE-2025-67779 (điểm CVSS: 7.5) - Bản vá chưa hoàn chỉnh cho CVE-2025-55184 có tác động tương tự.
    CVE-2025-55183 (điểm CVSS: 5.3) - Một lỗ hổng rò rỉ thông tin có thể khiến một yêu cầu HTTP được tạo ra đặc biệt gửi đến một Hàm Máy chủ dễ bị tổn thương trả về mã nguồn của bất kỳ Hàm Máy chủ nào.

Tuy nhiên, việc khai thác thành công lỗ hổng CVE-2025-55183 đòi hỏi sự tồn tại của một Hàm Máy chủ (Server Function) mà rõ ràng hoặc ngầm định tiết lộ một đối số đã được chuyển đổi thành định dạng chuỗi.

Các lỗi ảnh hưởng đến các phiên bản sau của react-server-dom-parcel, react-server-dom-turbopack và react-server-dom-webpack:

    Lỗ hổng bảo mật CVE-2025-55184 và CVE-2025-55183 - 19.0.0, 19.0.1, 19.1.0, 19.1.1, 19.1.2, 19.2.0 và 19.2.1
    CVE-2025-67779 - 19.0.2, 19.1.3 và 19.2.2

Các nhà nghiên cứu bảo mật RyotaK và Shinsaku Nomura được ghi nhận là người đã báo cáo hai lỗi tấn công từ chối dịch vụ (DoS) cho chương trình Meta Bug Bounty, trong khi Andrew MacPherson được ghi nhận vì đã báo cáo lỗ hổng rò rỉ thông tin.

Người dùng nên cập nhật lên các phiên bản 19.0.3, 19.1.4 và 19.2.3 càng sớm càng tốt, đặc biệt là trong bối cảnh đang tích cực điều tra lỗ hổng bảo mật CVE-2025-55182.

"Khi một lỗ hổng nghiêm trọng được phát hiện, các nhà nghiên cứu sẽ xem xét kỹ lưỡng các đường dẫn mã liền kề để tìm kiếm các kỹ thuật khai thác biến thể nhằm kiểm tra xem liệu biện pháp khắc phục ban đầu có thể bị vượt qua hay không," nhóm React cho biết. "Mô hình này xuất hiện trên toàn ngành, không chỉ riêng JavaScript. Việc phát hiện thêm các lỗ hổng có thể gây khó chịu, nhưng nhìn chung đó là dấu hiệu của một chu trình phản hồi lành mạnh."