Vulnérabilité Critique dans React Server Components : React2shell Permettant l'Exécution de Code à Distance

Isidore Bellemare

Vulnérabilité Critique dans React Server Components : React2shell Permettant l’Exécution de Code à Distance

Une faille de sécurité de gravité maximale a été découverte dans les React Server Components (RSC) qui, si exploitée avec succès, pourrait permettre l’exécution de code à distance. Cette vulnérabilité, suivie sous l’identifiant CVE-2025-55182 et surnommée React2shell, présente un score CVSS de 10.0, indiquant une criticité maximale. Selon les experts, cette faille exploite une vulnérabilité dans la manière dont React décode les payloads envoyés aux fonctions serveur React.

La révélation de cette vulnérabilité intervient dans un contexte où de nombreuses entreprises françaises et internationales adoptent massivement les technologies React et Next.js pour leurs applications web. Selon Palo Alto Networks, plus de 968 000 serveurs exécutant des frameworks modernes comme React et Next.js ont été identifiés, exposant une surface d’attaque lucrative qui est prête à être exploitée. Dans un paysage numérique où la sécurité des applications web est devenue une préoccupation majeure, cette vulnérabilité représente un défi critique pour les développeurs et les administrateurs système.

Qu’est-ce que la vulnérabilité React2shell ?

La vulnérabilité React2shell est une faille de désérialisation logique qui découle du traitement non sécurisé des payloads RSC. En conséquence, un attaquant non authentifié pourrait créer une requête HTTP malveillante vers n’importe quel point de terminaison de fonction serveur qui, une fois désérialisé par React, permet l’exécution de code JavaScript arbitraire sur le serveur.

Selon le React Team, “même si votre application n’implémente aucun point de terminaison de fonction serveur React, elle peut toujours être vulnérable si votre application prend en charge les React Server Components.” Cette affirmation met en lumière l’ampleur potentielle de l’impact, car la vulnérabilité ne nécessite pas de configuration spécifique pour être exploitée.

Wiz, une entreprise de sécurité cloud, explique que le problème réside dans le protocole React Flight : “Le problème provient du traitement non sécurisé des payloads sérialisés dans le protocole React Flight. Les payloads malformés ou adversariaux peuvent influencer l’exécution côté serveur de manière inattendue.”

Aikido, une société spécialisée dans la sécurité de la chaîne d’approvisionnement logicielle, confirme cette analyse : “Les versions React corrigées incluent une validation plus stricte et un comportement de désérialisation renforcé.”

Versions affectées et correctifs disponibles

La vulnérabilité impacte les versions 19.0, 19.1.0, 19.1.1, et 19.2.0 des paquets npm suivants :

  • react-server-dom-webpack
  • react-server-dom-parcel
  • react-server-dom-turbopack

Ces paquets ont été corrigés dans les versions 19.0.1, 19.1.2, et 19.2.1. Le découvreur de cette faille, le chercheur en sécurité néo-zélandais Lachlan Davidson, a été crédité pour avoir signalé le défaut à Meta le 29 novembre 2025. Rappelons que le géant des médias sociaux a initialement créé et maintenu la bibliothèque JavaScript avant de la transférer à la React Foundation en octobre 2025.

Le framework Next.js est également touché par cette vulnérabilité lorsqu’il utilise l’App Router. Le problème a été attribué l’identifiant CVE-2025-66478 (score CVSS : 10.0). Il affecte les versions >=14.3.0-canary.77, >=15, et >=16. Les versions corrigées sont 16.0.7, 15.5.7, 15.4.8, 15.3.6, 15.2.6, 15.1.9, et 15.0.5.

Selon Endor Labs, Miggo Security et VulnCheck, aucune configuration spéciale n’est nécessaire pour exploiter la faille, ajoutant qu’elle est exploitable tant sans nécessiter de connexion que via HTTP. “Un attaquant n’a besoin que d’un accès réseau pour envoyer une requête HTTP spécialement conçue vers n’importe quel point de terminaison de fonction serveur”, explique Endor Labs. “La vulnérabilité affecte les configurations de framework par défaut, ce qui signifie que les déploiements standards sont immédiatement exploitables sans conditions spéciales.”

Comment exploiter cette vulnérabilité ?

L’exploitation de React2shell repose sur la manipulation des payloads sérialisés dans le protocole React Flight. Un attaquant peut envoyer une requête HTTP malveillante vers un point de terminaison de fonction serveur React. Lorsque le serveur traite cette requête, le payload malveillant est désérialisé et exécuté, permettant à l’attaquant d’exécuter du code arbitraire avec les permissions du serveur.

Ce type d’attaque est particulièrement dangereux car il exploite la confiance que le système place dans les structures de données entrantes. Justin Moore, directeur senior de la recherche sur les menaces chez Palo Alto Networks Unit 42, décrit cette vulnérabilité comme une “exploitation clé maîtresse” : “Cette faille nouvellement découverte est une menace critique car elle est une clé maîtresse qui réussit non pas en faisant planter le système, mais en abusant de sa confiance dans les structures de données entrantes. Le système exécute le payload malveillant avec la même fiabilité que le code légitime car il fonctionne exactement comme prévu, mais sur une entrée malveillante.”

Dans la pratique, un attaquant pourrait potentiellement :

  1. Exécuter du code arbitraire sur le serveur
  2. Accéder aux données sensibles stockées sur le serveur
  3. Prendre le contrôle complet de l’application
  4. Utiliser le serveur comme point de départ pour d’autres attaques

Mesures immédiates pour atténuer le risque

Jusqu’à l’application des correctifs, plusieurs mesures immédiates peuvent être prises pour atténuer le risque :

  1. Déployer des règles de pare-feu d’application web (WAF) si disponible
  2. Surveiller le trafic HTTP vers les points de terminaison de fonction serveur pour toute requête suspecte ou malformée
  3. Envisager de restreindre temporairement l’accès réseau aux applications affectées

Cloudflare, un fournisseur d’infrastructure web, a déclaré avoir déployé une nouvelle protection dans sa solution WAF cloud pour adresser CVE-2025-55182. L’entreprise note que tous les clients sur les plans gratuits et payants sont protégés “tant que leur trafic d’application React est proxysé” via le service.

Wiz a révélé que 39% des environnements cloud contiennent des instances vulnérables à CVE-2025-55182 et/ou CVE-2025-66478. En raison de la gravité de la vulnérabilité, il est conseillé aux utilisateurs d’appliquer les corrections dès que possible pour une protection optimale.

Les administrateurs système et les développeurs français doivent être particulièrement vigilants, car de nombreuses entreprises locales utilisent ces technologies pour leurs applications web critiques. Le calendrier de mise à jour doit être prioritaire, car l’exploitation de cette vulnérabilité pourrait avoir des conséquences dévastatrices. Dans la pratique, nous avons observé que les entreprises qui mettent en place des procédures de réponse aux incidents ont une meilleure résilience face à ce type de menace.

Impact sur l’écosystème React et Next.js

L’impact de cette vulnérabilité s’étend bien au-delà des paquets React directement mentionnés. Tout bibliothèque qui bundle des RSC est susceptible d’être affectée par la faille. Cela inclut, mais sans s’y limiter :

  • Le plugin Vite RSC
  • Le plugin Parcel RSC
  • L’aperçu React Router RSC
  • RedwoodJS
  • Waku

Cette liste n’est pas exhaustive, car l’écosystème React est vaste et en constante évolution. Les développeurs doivent vérifier toutes leurs dépendances pour s’assurer qu’elles ne sont pas indirectement affectées par cette vulnérabilité.

Dans le contexte français, cette faille touche de nombreuses startups et grandes entreprises qui ont investi massivement dans des architectures basées sur React et Next.js. Le gouvernement français, via l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information), a mis en garde contre les risques associés à cette vulnérabilité et recommande une mise à jour immédiate des dépendances affectées. Conformément au RGPD, les organisations doivent également s’assurer qu’elles protègent efficacement les données personnelles traitées par ces applications vulnérables.

Recommandations de sécurité à long terme

Au-delà de la correction immédiate de cette vulnérabilité, plusieurs mesures de sécurité à long terme peuvent être adoptées pour renforcer la résilience des applications basées sur React :

  1. Surveillance continue de la chaîne d’approvisionnement logicielle : Mettre en place des processus pour surveiller les dépendances et leurs mises à jour de sécurité.
  2. Tests de pénétration réguliers : Effectuer des tests de sécurité approfondis, notamment sur les points de terminaison de fonction serveur.
  3. Pratiques de codification sécurisée : Intégrer des pratiques de sécurité dès le début du processus de développement.
  4. Éducation des développeurs : Former les équipes aux risques de sécurité spécifiques aux frameworks JavaScript modernes.
  5. Mise en place de défenses en profondeur : Combiner plusieurs couches de sécurité pour atténuer les risques restants.

L’ANSSI recommande également aux entreprises françaises de suivre les directives du référentiel ISO 27001, qui fournit un cadre complet pour la gestion de la sécurité de l’information. La conformité avec ce référentiel peut aider à atténuer non seulement cette vulnérabilité spécifique, mais aussi d’autres menaces potentielles.

Par ailleurs, l’adoption de pratiques de devsecops (intégration de la sécurité dans le développement et les opérations) peut considérablement réduire la surface d’attaque. En pratique, nous avons observé que les organisations qui intègrent la sécurité tout au long du cycle de vie de développement ont une incidence significativement plus faible sur les breaches de sécurité.

Conclusion et prochaines actions

La vulnérabilité React2shell représente une menace critique pour les applications utilisant React Server Components et Next.js avec App Router. Avec un score CVSS de 10.0 et la facilité d’exploitation, cette faille nécessite une action immédiate de la part des développeurs et administrateurs système.

Selon les estimations, près de 40% des environnements cloud sont potentiellement vulnérables, ce qui démontre l’ampleur du problème. Les organisations doivent prioriser la mise à jour vers les versions corrigées de React et Next.js pour se protéger contre cette menace.

À long terme, cette vulnérabilité souligne l’importance cruciale de la sécurité de la chaîne d’approvisionnement logicielle et de l’adoption de pratiques de codification sécurisée dès le début du processus de développement. L’écosystème React, bien que puissant et flexible, nécessite une vigilance constante face aux nouvelles menaces émergentes.

Les prochaines actions devraient inclure :

  1. Vérifier si vos applications utilisent des versions affectées de React ou Next.js
  2. Appliquer les correctifs dès que possible
  3. Mettre en place des mesures temporaires si les correctifs ne peuvent pas être appliqués immédiatement
  4. Revoir vos processus de gestion des dépendances pour éviter de futures vulnérabilités similaires

En conclusion, la vulnérabilité React2shell sert de rappel crucial que même les technologies les plus robustes peuvent présenter des failles critiques. Dans le paysage actuel de la cybersécurité, la prévention et la rapidité de réponse sont les clés pour protéger les applications et les données sensibles.