بحران امنیتی در اکوسیستم React و Next.js: آسیب‌پذیری بحرانی CVE-2025-55182 و هشدار جدی برای توسعه‌دهندگان

بحران امنیتی در قلب اکوسیستم جاوااسکریپت

انتشار خبر شناسایی آسیب‌پذیری CVE-2025-55182 موجی از نگرانی را در جامعه‌ی توسعه‌دهندگان وب ایجاد کرده است. React، به‌عنوان پراستفاده‌ترین کتابخانه‌ی توسعه‌ی رابط کاربری در جهان، اکنون درگیر رخنه‌ای شده که پژوهشگران آن را «سناریویی فاجعه‌بار» توصیف کرده‌اند. اهمیت موضوع زمانی دوچندان می‌شود که بدانیم این رخنه فقط محدود به React نیست و فریم‌ورک‌هایی مانند Next.js، react-router و دیگر ابزارهایی که بر React Server Components تکیه دارند نیز تحت تأثیر قرار گرفته‌اند.

در شرایطی که شرکت‌ها و استارت‌آپ‌ها به شکل گسترده از این تکنولوژی‌ها استفاده می‌کنند، انتشار این یافته‌ها عملاً به معنای اعلام یک وضعیت اضطراری امنیتی برای بخش قابل‌توجهی از وب مدرن است. طبق داده‌های مطرح‌شده، حدود ۳۹ درصد از محیط‌های ابری همچنان نسخه‌های آسیب‌پذیر را اجرا می‌کنند، رقمی که نشان می‌دهد بخش قابل‌توجهی از سرویس‌های آنلاین جهان در معرض حمله‌ای بالقوه و بسیار خطرناک قرار دارند.

ریشه‌ی آسیب‌پذیری در React Server Components

برای درک عمق فاجعه لازم است به ساختار React Server Components یا RSC نگاهی دقیق‌تر داشته باشیم. RSC یکی از بخش‌های مهم و نسبتاً جدید اکوسیستم React است که امکان رندر سمت سرور را با کارایی بالا فراهم می‌کند. در این بخش، داده‌ها میان کلاینت و سرور بر اساس یک پروتکل سریال‌سازی انتقال پیدا می‌کنند. مشکل اصلی در فرآیند رمزگشایی ورودی‌ها نهفته است؛ جایی که React هنگام پردازش برخی ورودی‌های مخرب از اعتبارسنجی کافی استفاده نمی‌کند.

طبق توضیحات پژوهشگران، یک مهاجم قادر است تنها با ارسال یک درخواست HTTP خاص و بدون نیاز به ورود، محتوایی را تزریق کند که هنگام سریال‌زدایی در سرور منجر به اجرای مستقیم کد می‌شود. از آنجا که سرور RSC معمولاً با دسترسی‌های سطح بالا اجرا می‌شود، این نقص می‌تواند کنترل کامل سیستم را به مهاجم بسپارد. چنین رخنه‌هایی در دسته‌ی آسیب‌پذیری‌های Remote Code Execution طبقه‌بندی می‌شوند که از خطرناک‌ترین انواع تهدیدهای امنیت سایبری محسوب می‌شوند.

نسخه‌های آسیب‌پذیر و نسخه‌های امن

رخنه‌ی CVE-2025-55182 نسخه‌های زیر از React را تحت تأثیر قرار داده است:

• 19.0
• 19.1.0
• 19.1.1
• 19.2.0

و نسخه‌های امن شامل موارد زیر هستند:

• 19.0.1
• 19.1.2
• 19.2.1

این گستردگی نسخه‌های آسیب‌پذیر، کار را برای تیم‌های عملیاتی دشوارتر کرده است، زیرا بسیاری از پروژه‌ها از طریق بسته‌های دیگر مانند Next.js یا کتابخانه‌های مسیریابی وابستگی‌های React را به‌طور غیرمستقیم دریافت می‌کنند. این یعنی حتی اگر توسعه‌دهنده به‌صورت مستقیم از نسخه‌های آسیب‌پذیر React استفاده نکرده باشد، ممکن است فریم‌ورک یا ابزار جانبی او شامل همین نسخه‌ها باشد و در برابر حمله آسیب‌پذیر باقی بماند.

اثرات امنیتی و سناریوی حمله

پژوهشگران این آسیب‌پذیری را یک «کابوس امنیتی» توصیف کرده‌اند. دلیل این توصیف شدت ترکیب‌ تهدیدهاست:
حمله از راه دور انجام می‌شود، نیاز به احراز هویت ندارد، فقط به یک درخواست HTTP ساده نیاز دارد و در نهایت می‌تواند به اجرای کامل کد روی سرور منجر شود. این ترکیب به ندرت در دنیای وب مشاهده می‌شود و معمولاً معادل با یک آسیب‌پذیری سطح نظامی تلقی می‌شود.

در سناریوی حمله، مهاجم ورودی‌ای را ارسال می‌کند که به‌صورت خاص برای سوءاستفاده از نقص در رمزگشایی RSC طراحی شده است. این ورودی پس از رسیدن به سرور توسط React پردازش می‌شود و بدون اینکه لایه‌های محافظ مانند کنترل دسترسی یا محدودیت‌های سنتی Node.js مانع آن شوند، به اجرا می‌رسد. نتیجه این است که مهاجم می‌تواند فایل‌ها را بخواند یا حذف کند، بدافزار نصب کند، داده‌ها را استخراج کند یا حتی ترافیک کاربران را هدایت و دستکاری کند.

با توجه به اینکه Next.js یکی از محبوب‌ترین فریم‌ورک‌های Full-Stack وب در جهان است و بسیاری از اپلیکیشن‌های سازمانی، زیرساختی و سرویس‌های SaaS بر پایه‌ی آن توسعه داده شده‌اند، احتمال اینکه مهاجمان به‌سرعت به دنبال شناسایی سیستم‌های آسیب‌پذیر بروند بسیار بالاست. تجربه نشان داده که در موارد مشابه، ظرف چند ساعت پس از انتشار عمومی یک آسیب‌پذیری RCE، موج حملات خودکار اینترنتی به‌سرعت آغاز می‌شود.

ابعاد گسترده تهدید در فضای ابری

یکی از ابعاد نگران‌کننده‌ی این آسیب‌پذیری، شمار بسیار بالای سرویس‌هایی است که در فضای ابری به نسخه‌های آسیب‌پذیر تکیه دارند. گزارش‌های اولیه نشان می‌دهد که نزدیک به ۴۰ درصد از محیط‌های ابری عمومی و خصوصی از نسخه‌هایی استفاده می‌کنند که در برابر CVE-2025-55182 آسیب‌پذیر هستند.

بسیاری از این محیط‌ها به‌صورت خودکار از طریق CI/CD بروزرسانی نمی‌شوند، زیرا شرکت‌ها معمولاً نسخه‌های React و Next.js را برای حفظ ثبات اپلیکیشن قفل می‌کنند. این یعنی احتمال دارد نهادهایی مانند بانک‌ها، شرکت‌های فناوری، فروشگاه‌های آنلاین و سرویس‌های داده‌ای ماه‌ها بدون آگاهی در برابر این تهدید پابرجا مانده باشند.

از آنجا که مهاجمان به ابزارهای اسکن خودکار عمومی دسترسی دارند، شناسایی سرویس‌های آسیب‌پذیر تنها به چند ساعت زمان نیاز دارد. تجربه‌های گذشته مانند رخنه‌ی Log4Shell یا نقص ProxyShell در Exchange نشان داده‌اند که حملات گسترده معمولاً با سرعت بسیار بالا آغاز می‌شوند و سیستم‌هایی که در روزهای نخست به‌روزرسانی نشوند، معمولاً قربانی اولین موج حملات خواهند بود.

واکنش جامعه توسعه و اهمیت وصله امنیتی

انتشار نسخه‌های امن React شامل ۱۹٫۰٫۱، ۱۹٫۱٫۲ و ۱۹٫۲٫۱ گام مهمی در مهار این بحران محسوب می‌شود اما کافی نیست. توسعه‌دهندگان باید علاوه بر به‌روزرسانی React، تمام وابستگی‌های فرانت‌اند و بک‌اند را بررسی کنند. ابزارهایی مانند npm audit، pnpm audit و اسکنرهای امنیتی Snyk یا GitHub Dependabot می‌توانند کمک کنند اما در بسیاری از پروژه‌ها نیاز به بررسی دستی وجود دارد.

بسیاری از کتابخانه‌های Third-Party در اکوسیستم جاوااسکریپت به‌صورت غیرمستقیم از RSC استفاده می‌کنند یا در فرآیند رندر سمت سرور با آن تعامل دارند. این وابستگی‌های تو در تو می‌تواند باعث شود حتی نسخه‌ی اصلی React نیز پس از به‌روزرسانی همچنان در محیطی ناامن اجرا شود. بنابراین توصیه‌ی کارشناسان امنیت وب این است که تیم‌ها در مدت کوتاهی کل درخت وابستگی پروژه را بازبینی کنند.

جمع‌بندی: اولویت فوری برای تمام تیم‌های فنی

رخنه‌ی امنیتی CVE-2025-55182 یکی از جدی‌ترین تهدیدهایی است که تاکنون اکوسیستم React و Next.js با آن مواجه شده است. پیچیدگی فنی این آسیب‌پذیری، گستردگی دامنه تهدید و سهولت انجام حمله، تمامی مؤلفه‌هایی هستند که آن را به یک بحران اولویت‌دار تبدیل می‌کنند. در این گزارش خبری در کارینا سکیوریتی تأکید می‌کنیم که حتی یک روز تأخیر در به‌روزرسانی می‌تواند منجر به نفوذ کامل به سرور شود.

تنها راه‌حل قطعی، به‌روزرسانی فوری همه نسخه‌های React، Next.js و وابستگی‌های مرتبط به نسخه‌های امن اعلام‌شده است. تیم‌های امنیتی و DevOps باید در کوتاه‌ترین زمان ممکن فرآیند وصله کردن، آزمایش و استقرار نسخه‌های جدید را آغاز کنند، زیرا زیرساخت‌های وب جهانی اکنون در برابر یکی از خطرناک‌ترین رخنه‌های سال‌های اخیر قرار گرفته‌اند.

اگر مایلید، می‌توانم نسخه کوتاه‌تر، نسخه انگلیسی، یا نسخه مناسب انتشار در شبکه‌های اجتماعی این گزارش را نیز تولید کنم.

منبع: react.dev