{"id":174603,"date":"2025-12-09T11:23:11","date_gmt":"2025-12-09T09:23:11","guid":{"rendered":"https:\/\/jfrog.com\/blog\/cve-2025-55182-et-cve-2025-66478-react2shell-tout-ce-que-vous-devez-savoir-mise-a-jour\/"},"modified":"2026-09-17T11:29:06","modified_gmt":"2026-09-17T09:29:06","slug":"2025-55182-and-2025-66478-react2shell-all-you-need-to-know","status":"publish","type":"post","link":"https:\/\/jfrog.com\/fr\/blog\/2025-55182-and-2025-66478-react2shell-all-you-need-to-know\/","title":{"rendered":"CVE-2025-55182 et CVE-2025-66478 (\u00ab\u00a0React2Shell\u00a0\u00bb)\u00a0: tout ce que vous devez savoir – MISE \u00c0 JOUR"},"content":{"rendered":"

\"Vuln\u00e9rabilit\u00e9<\/p>\n

MISE \u00c0 JOUR IMPORTANTE<\/b>: React2Shell continue d\u2019attaquer l\u2019infrastructure cloud\u00a0<\/span><\/p>\n

(9 d\u00e9cembre 2025) L\u2019\u00e9quipe de recherche en s\u00e9curit\u00e9 de JFrog continue de suivre la vuln\u00e9rabilit\u00e9 React2Shell. Les d\u00e9veloppements r\u00e9cents incluent le <\/span>POC original<\/span><\/a> du chercheur qui a d\u00e9couvert cette vuln\u00e9rabilit\u00e9. Ce POC d\u00e9montre la simplicit\u00e9 de l\u2019exploitation de cette CVE et refl\u00e8te la gravit\u00e9 et l\u2019impact r\u00e9els de cette CVE.<\/span><\/p>\n

(12 d\u00e9cembre 2025) Deux vuln\u00e9rabilit\u00e9s de d\u00e9ni de service de gravit\u00e9 \u00e9lev\u00e9e\u00a0\u2013 CVE-2025-55184 et CVE-2025-67779<\/a>\u00a0\u2013 ont \u00e9t\u00e9 publi\u00e9es. Les CVE partagent les m\u00eames sc\u00e9narios d\u2019utilisation que React2Shell, mais ne peuvent faire l\u2019objet d\u2019une exploitation de code \u00e0 distance.
\n<\/strong>Ces vuln\u00e9rabilit\u00e9s impactent \u00e0 la fois React et Next.js, et de nouvelles versions ont \u00e9t\u00e9 publi\u00e9es pour corriger le probl\u00e8me.<\/p>\n

JFrog continue de suivre React2Shell et de fournir des mises \u00e0 jour \u00e0 son sujet sur <\/span><\/i>research.jfrog.com<\/span><\/i><\/a>.<\/span><\/i><\/p>\n

\n

Que s’est-il pass\u00e9 ?<\/a><\/h2>\n

Une vuln\u00e9rabilit\u00e9 critique dans React \u2014 CVE-2025-55182 (et la CVE-2025-66478 correspondante dans Next.js) \u2014 a \u00e9t\u00e9 publi\u00e9e par les responsables de la maintenance de React<\/a>. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 nomm\u00e9e \u00ab React2Shell \u00bb par le chercheur \u00e0 l\u2019origine de sa d\u00e9couverte<\/a>, car elle permet \u00e0 des attaquants distants (potentiellement non authentifi\u00e9s) d\u2019ex\u00e9cuter du code arbitraire.<\/p>\n

Un attaquant distant pourrait concevoir une requ\u00eate HTTP malveillante destin\u00e9e \u00e0 n\u2019importe quel point de terminaison React Server Function qui, une fois d\u00e9s\u00e9rialis\u00e9e par React, permettrait l\u2019ex\u00e9cution de code arbitraire sur le serveur. Le taux de r\u00e9ussite de l\u2019exploitation serait de pr\u00e8s de 100\u00a0% dans les configurations par d\u00e9faut.<\/p>\n

Bien qu\u2019aucun exploit de preuve de concept pour cette vuln\u00e9rabilit\u00e9 n\u2019ait \u00e9t\u00e9 initialement disponible, le 4 d\u00e9cembre, un exploit complet d\u2019ex\u00e9cution de code \u00e0 distance<\/a> \u00ab\u00a0non officiel\u00a0\u00bb et une analyse technique ont \u00e9t\u00e9 rendus publics. Le lendemain, la preuve de concept originale<\/a> du chercheur a \u00e9galement \u00e9t\u00e9 rendue disponible –\u00a0 cela rend l\u2019exploitation de cette vuln\u00e9rabilit\u00e9 extr\u00eamement probable par des attaquants externes.<\/p>\n

Qui est vuln\u00e9rable \u00e0 React2Shell ?<\/a><\/h2>\n

Serveurs React utilisant des points de terminaison React Server Function<\/a><\/h3>\n

Les serveurs React qui utilisent des points de terminaison React Server Function sont connus pour \u00eatre vuln\u00e9rables. Il est possible de v\u00e9rifier si des applications React Server pr\u00e9sentent cette fonctionnalit\u00e9 vuln\u00e9rable en recherchant la directive use server\u00a0; dans l\u2019un des fichiers de code source de l\u2019application, ce qui indique qu\u2019une fonction de serveur<\/a> est d\u00e9finie.<\/p>\n

Par exemple –<\/p>\n

async function requestUsername(formData) {\r\n  'use server';\r\n  const username = formData.get('username');\r\n  \/\/ ...\r\n}\r\n\r\nexport default function App() {\r\n  return (\r\n    <form action={requestUsername}>\r\n      <input type="text" name="username" \/>\r\n      <button type="submit">Demander<\/button>\r\n    <\/form>\r\n  );\r\n}<\/code><\/pre>\n
\u00a0<\/p>\n
Serveurs React prenant en charge les React Server Components<\/h3>\n
L\u2019avis de React indique\u00a0: \u00ab\u00a0M\u00eame si votre application ne met en \u0153uvre aucun point de terminaison de fonction de serveur React, elle peut tout de m\u00eame \u00eatre vuln\u00e9rable si elle prend en charge les composants React Server.\u00a0\u00bbIl n\u2019est pas clairement \u00e9tabli pour l\u2019instant quelles conditions exactes permettent l\u2019exploitation de CVE-2025-55182 lorsque les points de terminaison de fonction de serveur React ne sont pas mis en \u0153uvre, mais que les React Server Components sont pris en charge.<\/p>\n
Si votre application prend en charge les composants React Server, nous vous incitons vivement \u00e0 mettre \u00e0 jour les \u00e9l\u00e9ments vuln\u00e9rables vers l\u2019une des versions corrig\u00e9es figurant dans le tableau ci-dessous.<\/p>\n
Applications Web Next.js qui utilisent App Router<\/span><\/a><\/h3>\n
Le vecteur d\u2019exploitation le plus probable passerait par les applications web Next.js (CVE-2025-66478), car elles sont vuln\u00e9rables dans leur configuration par d\u00e9faut. Par exemple, cr\u00e9er une application Next.js avec la commande standard create-next-app et utiliser les valeurs recommand\u00e9es cr\u00e9e une application vuln\u00e9rable, car ces valeurs activent l\u2019App Router de Next.js, qui donne acc\u00e8s aux points de terminaison vuln\u00e9rables de React Server Function. Ces applications next.js contiendront le r\u00e9pertoire app, ce qui signifie qu\u2019elles utilisent l\u2019App Router vuln\u00e9rable.<\/p>\n
<\/p>\n
<\/p>\n
Packages vuln\u00e9rables et versions corrig\u00e9es<\/a><\/h2>\n\n\n\n\n\n\n\n\n\n
Composants vuln\u00e9rables<\/b><\/td>\nVersions vuln\u00e9rables<\/b><\/td>\nVersions corrig\u00e9es<\/b><\/td>\n<\/tr>\n
react-server-dom-webpack<\/span><\/td>\n19.0.0<\/span><\/p>\n
19.1.0 – 19.1.1<\/span><\/p>\n
19.2.0<\/span><\/td>\n
19.0.1<\/span><\/p>\n
19.1.2<\/span><\/p>\n
19.2.1<\/span><\/td>\n<\/tr>\n
react-server-dom-parcel<\/span><\/td>\n19.0.0<\/span><\/p>\n
19.1.0 – 19.1.1<\/span><\/p>\n
19.2.0<\/span><\/td>\n
19.0.1<\/span><\/p>\n
19.1.2<\/span><\/p>\n
19.2.1<\/span><\/td>\n<\/tr>\n
react-server-dom-turbopack<\/span><\/td>\n19.0.0<\/span><\/p>\n
19.1.0 – 19.1.1<\/span><\/p>\n
19.2.0<\/span><\/td>\n
19.0.1<\/span><\/p>\n
19.1.2<\/span><\/p>\n
19.2.1<\/span><\/td>\n<\/tr>\n
Next.js<\/span><\/td>\n15.0.0 – 15.0.4<\/span><\/p>\n
15.1.0 – 15.1.8<\/span><\/p>\n
15.2.0 – 15.2.5<\/span><\/p>\n
15.3.0 – 15.3.5<\/span><\/p>\n
15.4.0 – 15.4.7<\/span><\/p>\n
15.5.0 – 15.5.6<\/span><\/p>\n
16.0.0 – 16.0.6<\/span><\/td>\n
15.0.5<\/span><\/p>\n
15.1.9<\/span><\/p>\n
15.2.6<\/span><\/p>\n
15.3.6<\/span><\/p>\n
15.4.8<\/span><\/p>\n
15.5.7<\/span><\/p>\n
16.0.7<\/span><\/td>\n<\/tr>\n
Next.js<\/span><\/td>\n14.3.0-canary.77 et les versions canary ult\u00e9rieures<\/span><\/td>\nR\u00e9trogradez vers la derni\u00e8re version stable 14.x en ex\u00e9cutant <\/span>npm install next@14<\/span><\/td>\n<\/tr>\n
Autres cadres<\/span><\/td>\nTout framework\/biblioth\u00e8que int\u00e9grant l\u2019impl\u00e9mentation vuln\u00e9rable de React RSC (par ex., plug-in Vite RSC, plug-in Parcel RSC, aper\u00e7u React Router RSC, RedwoodSDK, Waku)<\/span><\/td>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
\u00a0<\/p>\n
Comment puis-je att\u00e9nuer React2Shell\u00a0?<\/h2>\n