Przekonaj się sam!
Pozostaw wiadomość, a skontaktuje się z Tobą nasz dedykowany doradca.
Wyślij nam wiadomość
0/10000
React2Shell i wyścig z czasem. Vercel łata krytyczną dziurę w Next.js
Opublikowano: 2025-12-07
Cybersecurity
Dzień dobry w niedzielę! Mam nadzieję, że Wasz weekend mija spokojnie, chociaż jeśli jesteście devami używającymi Next.js, to dzisiejszy poranek może wymagać podwójnego espresso. W świecie cyberbezpieczeństwa zrobiło się gorąco za sprawą nowej podatności, która otrzymała dźwięczną, choć mrożącą krew w żyłach nazwę: "React2Shell" (CVE-2025-55182).
O co chodzi?
Mówiąc krótko: mamy do czynienia z błędem w React Server Components, który uderza w aplikacje oparte na Next.js. Problem dotyczy wersji frameworka od 15.0.0 do 16.0.6. Jeśli Twoja aplikacja działa na którejś z nich – jesteś na celowniku.
Sytuacja jest poważna, bo jak donosi Vercel, w sieci hulają już publicznie dostępne exploity (Proof-of-Concept), a pierwsze skany i próby ataków zostały odnotowane w logach. "React2Shell" to nie przelewki – nazwa sugeruje możliwość uzyskania dostępu do powłoki (RCE - Remote Code Execution), co dla każdego admina jest scenariuszem rodem z koszmaru.
Reakcja Vercel – tarcza i miecz
Trzeba oddać zespołowi Vercel, że nie zasypiali gruszek w popiele. Zanim CVE zostało oficjalnie ogłoszone światu, firma zdążyła wdrożyć reguły na swoim WAF (Web Application Firewall), które blokują znane wzorce ataków. Co więcej:
- Wprowadzono blokadę nowych wdrożeń (deployments) dla projektów korzystających z dziurawych wersji Next.js.
- Udostępniono narzędzie do szybkiej naprawy:
npx fix-react2shell-next. - Podzielono się wiedzą z innymi dostawcami CDN i WAF, żeby chronić szerszą społeczność.
Wszystkie te działania to tzw. "defense-in-depth", ale pamiętajcie – WAF to tylko plaster. Jedynym pewnym lekarstwem jest aktualizacja paczek.
Polowanie na błędy (i nagrody)
Vercel jest na tyle pewny swoich zabezpieczeń (lub na tyle zdeterminowany, by je uszczelnić), że nawiązał współpracę z platformą HackerOne. Za znalezienie sposobu na obejście ich zabezpieczeń w kontekście tego konkretnego CVE płacą naprawdę solidnie:
- 25 000 USD za błędy o wysokim priorytecie (High).
- 50 000 USD za błędy krytyczne (Critical).
Jeśli więc macie wolne popołudnie i smykałkę do łamania zabezpieczeń, możecie spróbować swoich sił.
Co musisz zrobić TERAZ?
Nie licz na to, że "jakoś to będzie", bo Twój startup jest mały. Boty nie dyskryminują.
- Sprawdź wersję Next.js: Zajrzyj do
package.jsonlub wpisznext.versionw konsoli przeglądarki na swojej stronie. - Zaktualizuj: Jeśli jesteś w przedziale 15.0.0 – 16.0.6, natychmiast podbij wersję do załatanej.
- Monitoruj: Vercel sugeruje przeglądanie logów pod kątem nietypowych żądań POST, choć ostrzegają, że same timeouty funkcji nie muszą oznaczać udanego ataku (mogą to być po prostu skany).
Dla klientów Vercel na dashboardzie pojawił się specjalny baner informujący, czy ich produkcyjne wdrożenie jest zagrożone. Traktujcie to jako czerwoną lampkę alarmową.
Bezpiecznego kodowania i (mimo wszystko) spokojnej reszty weekendu!
Aleksander
Źródła: Vercel Blog - Resources for protecting against 'React2Shell'
Powiązane artykuły
Podatności
Pilny Alert: Google Łata Krytyczną Dziurę w Chrome Wykorzystywaną przez Hakerów
Google wydało nadzwyczajną aktualizację dla przeglądarki Chrome, aby załatać lukę zero-day (CVE-2025-10585), która jest już aktywnie wykorzystywana w atakach. Nie zwlekaj, zaktualizuj przeglądarkę!
2025-09-22
3 min
Podatności
Patch Tuesday: Microsoft Łata Dwie Dziury Zero-Day i Krytyczną Lukę w NTLM
Wrześniowy Patch Tuesday przynosi 84 poprawki bezpieczeństwa, w tym dla dwóch aktywnie wykorzystywanych luk zero-day. Administratorzy powinni zwrócić szczególną uwagę na krytyczną podatność w Windows NTLM.
2025-09-15
3 min
Podatności
React i Next.js pod Ostrzałem: Krytyczna Luka RCE (CVSS 10.0!)
Wykryto krytyczną podatność w React Server Components (CVE-2025-55182). Luka pozwala na zdalne wykonanie kodu i otrzymała maksymalną ocenę powagi 10/10.
2025-12-05
4 min
Komentarze
Ładowanie komentarzy...