React Server Components に信頼できないデータをデシリアライズする脆弱性

　独立行政法人情報処理推進機構（IPA）は12月9日、React Server Componentsにおける脆弱性について発表した。影響を受けるシステムは以下の通り。

react-server-dom-webpack 19.0
react-server-dom-webpack 19.1.0
react-server-dom-webpack 19.1.1
react-server-dom-webpack 19.2.0
react-server-dom-parcel 19.0
react-server-dom-parcel 19.1.0
react-server-dom-parcel 19.1.1
react-server-dom-parcel 19.2.0
react-server-dom-turbopack 19.0
react-server-dom-turbopack 19.1.0
react-server-dom-turbopack 19.1.1
react-server-dom-turbopack 19.2.0

　JavaScriptライブラリ「React」のサーバ機能に関するコンポーネント React Server Components には、信頼できないデータをデシリアライズする脆弱性（CVE-2025-55182）が存在し、脆弱性を悪用された場合、遠隔の攻撃者によって任意のコードを実行される可能性がある。

　なお、「Next.js」など他製品でも同様の影響を受ける。

　IPAでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。開発者は、本脆弱性を修正した下記バージョンをリリースしている。

react-server-dom-webpack 19.0.1
react-server-dom-webpack 19.1.2
react-server-dom-webpack 19.2.1
react-server-dom-parcel 19.0.1
react-server-dom-parcel 19.1.2
react-server-dom-parcel 19.2.1
react-server-dom-turbopack 19.0.1
react-server-dom-turbopack 19.1.2
react-server-dom-turbopack 19.2.1

元の記事を読む