Bulletins de Sécurité

React a publié un avis de sécurité le 3 décembre 2025 afin d’informer de la CVE-2025-55182. La CVE a un score de 10, la note maximale.

Cette vulnérabilité permet à un attaquant non authentifié d’envoyer une requête spécifiquement créée afin que l’application utilisant le framework React reçoive du code arbitraire. Une fois reçue, le code malveillant sera exécuté sur le serveur et l’attaquant pourra ainsi y accéder

L’exploitation de cette CVE pourrait permettre à l’attaquant de compromettre le site web en y installant des malwares, d’exfiltrer les secrets présents sur l’application et le serveur, les données sensibles contenues dans l’application ou les bases de données liées telles que les comptes d’utilisateurs. Il pourra également tenter de rebondir sur le reste du SI.

Il est important de noter que de nombreuses applications ou librairies utilisent React en arrière-plan. Il est déjà possible d’énumérer les suivantes :

• Next.js : La CVE-2025-66478 a été assignée par l’éditeur

• Vite RSC plugin

• Parcel RSC plugin

• React Router RSC preview

• RedwoodSDK

• Waku

Cette liste n’est pas exhaustive et de nombreuses autres applications seront détectées comme vulnérables dans les jours à venir. De plus, cette librairie étant packagée dans les applications, les outils de détection de vulnérabilité ne seront pas toujours en mesure de détecter correctement la vulnérabilité.Il est donc important de vérifier avec les éditeurs d’applications web si ces dernières utilisent ou non le framework React.

Les éditeurs Cloudflare, Fastly, AWS et Google ont mis en place des mesure de mitigation en créant des règles de WAF, nous vous invitons à vérifier leur mise en œuvre.

A l’heure actuelle, aucune trace d’exploitation par des groupes d’attaquants. Des exploits sont déjà publiquement disponibles.La simplicité d’exécution de la vulnérabilité laisse peu de doute quant à des exploitations malveillantes. Il est attendu que les premières exploitations arrivent dans les heures à venir.

Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute machine exposée sur sur Internet.En attendant l’application d’une remédiation, il est également recommandé de mettre en place des mitigations via des règles de WAF.