Kerngegevens
- Producten
- React Server Components
- React-Server-Dom-Parcel
- React-Server-Dom-Turbopack
- React-Server-Dom-Webpack
- Next.js
- Soort software
- –
- Getroffen versies
- React 19.0.0, 19.1.0, 19.1.1, 19.2.0
- Next.js vanaf 15.0.0 tot 15.0.5, vanaf 15.1.0 tot 15.1.9, vanaf 15.2.0 tot 15.2.6, vanaf 15.3.0 tot 15.3.6, vanaf 15.4.0 tot 15.4.8, vanaf 15.5.0 tot 15.5.7, vanaf 16.0.0 tot 16.0.7, 14.3.0, 15.6.0, 16.0.0
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Next.js 15.0.5
- Next.js 15.1.9
- Next.js 15.2.6
- Next.js 15.3.6
- Next.js 15.4.8
- Next.js 15.5.7
- Next.js 16.0.7
- CVE gepubliceerd
- 3 december 2025
- Op de KEV-lijst sinds
- 5 december 2025
- Gepubliceerd op LekkenRadar
- 7 oktober 2026
- Laatst gewijzigd bij NVD
- 18 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In React Server Components zit een lek waarmee een aanvaller zonder inloggen eigen code kan laten uitvoeren op de server. De server verwerkt gegevens uit HTTP-verzoeken naar Server Function-endpoints op een onveilige manier. De ernst is kritiek (10,0). Het lek wordt actief misbruikt en staat in de CISA-lijst van actief misbruikte kwetsbaarheden.
Wie loopt risico?
Je loopt risico als je webapplicaties draait met React Server Components in versie 19.0.0, 19.1.0, 19.1.1 of 19.2.0. Dat geldt ook voor de pakketten react-server-dom-parcel, react-server-dom-turbopack en react-server-dom-webpack. Ook bepaalde versies van Next.js zijn getroffen. De aanval verloopt via het netwerk, zonder inloggen en zonder dat een gebruiker iets hoeft te doen. Volgens de gegevens is het lek bekend uit ransomware-campagnes.
Wat moet je doen?
Ga na of je getroffen software gebruikt
Controleer of je projecten React Server Components gebruiken (versie 19.0.0, 19.1.0, 19.1.1 of 19.2.0) of Next.js. Kijk ook naar de pakketten react-server-dom-parcel, react-server-dom-turbopack en react-server-dom-webpack.
Werk Next.js bij
Update Next.js naar de opgeloste versie binnen jouw reeks: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 of 16.0.7. Dit geldt ook als je op 14.3.0, 15.6.0 of 16.0.0 zit, want die versies staan in de getroffen lijst.
Volg het advies van React voor de React-pakketten
In de gegevens staat geen opgeloste React-versie. Lees het advies van de leverancier op react.dev en werk de React-pakketten bij volgens dat advies.
Beperk de blootstelling tot je bijgewerkt hebt
Zolang je nog niet kunt updaten, houd je getroffen servers zo veel mogelijk buiten bereik van internet. Volg daarnaast de maatregelen uit het advies van de leverancier.
Controleer op sporen van misbruik
Het lek wordt sinds 5 december 2025 actief misbruikt. Kijk op servers die getroffen waren naar onverwachte processen, nieuwe bestanden of vreemde verzoeken naar Server Function-endpoints.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een pre-authenticatie remote code execution in React Server Components. De code deserialiseert payloads uit HTTP-verzoeken naar Server Function-endpoints op een onveilige manier. Een aanvaller kan hierdoor via een speciaal opgesteld verzoek code laten uitvoeren op de server. De aanval vereist geen authenticatie en geen gebruikersinteractie en verloopt via het netwerk. De CVSS-vector is CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, met een score van 10,0. De zwakte valt onder CWE-502.
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-502 · Deserialisatie van onbetrouwbare gegevens
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 99,8%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 5 december 2025
- Deadline van CISA
- 12 december 2025
- Gebruikt door ransomwaregroepen
- Ja, volgens CISA