Next.js React Server Components 远程代码执行漏洞【PoC公开】
漏洞描述 Next.js 是基于 React 的开源 Web 框架,用于构建 SSR、静态站点与混合渲染应用。 受影响版本中(最早于2024年5月开始集成React 19),Next.js App Router 将来自客户端的 RSC 序列化数据直接交由 ReactFlightReplyServer 反序列化,未对模型结构、引用路径与 Server Reference 元数据进行充分校验。攻击者可构造恶意 RSC请求,引导 parseModelString、getOutlinedModel、loadServerReference、initializeModelChunk 等解析链路进入异常状态,在模块加载与引用绑定阶段控制调用目标,最终在 Next.js 中可触发任意服务端代码执行。 Next.js 通过升级相关依赖并绑定至修复后的 RSC 解析入口,消除攻击者利用恶意 RSC请求实现代码执行的路径。 漏洞名称 Next.js React Server Components 远程代码执行漏洞【PoC公开】 漏洞类型 反序列化 发现时间 2025-12-05 漏洞影响广度 广 MPS编号...
