Synthèse
Nos partenaires nous ont signalé la récente découverte de deux vulnérabilités affectant plusieurs frameworks basés sur React.
Akamai a déployé des règles rapides Akamai Adaptive Security Engine visant à protéger ses clients contre ces menaces. Pour les clients Guardicore abonnés à Akamai Hunt, Akamai a recherché et identifié les actifs vulnérables concernés dans les environnements des clients et a proposé des recommandations pour protéger ces actifs.
Informations sur cette vulnérabilité
Deux nouvelles vulnérabilités ont été détectées dans les frameworks React Server Component (RSC) :
- CVE-2025-55183 — divulgation d'informations : des attaquants peuvent manipuler les arguments des Server Functions et amener le serveur à divulguer du code source sensible si les entrées ne sont pas correctement validées.
- CVE-2025-55184 — déni de service (DoS) au niveau des fonctions : des charges utiles spécialement conçues peuvent geler les serveurs Node.js en générant une boucle infinie de promesses, ce qui peut conduire à un dysfonctionnement.
Atténuation avec Akamai App & API Protector
Le 10 décembre 2025, Akamai a déployé des règles rapides Adaptive Security Engine pour les clients d'App & API Protector afin de fournir une couverture complète :
3000977 : détection d'une fuite d'informations liée à une vulnérabilité React (CVE-2025-55183)
3000978 : détection d'une attaque par déni de service liée à une vulnérabilité React (CVE-2025-55184)
Synthèse
Akamai a déployé de nouvelles règles dans App & API Protector pour protéger ses clients contre les nouvelles vulnérabilités qui affectent plusieurs frameworks basés sur React.
Les clients d'Akamai Hunt bénéficient d'une surveillance continue 24 h/24, 7 j/7 pour identifier de nouvelles vulnérabilités critiques, comme celles présentées dans cet article, ainsi que de recommandations ciblées pour l'application de correctifs virtuels via les capacités de microsegmentation granulaire de Guardicore.
Les clients Guardicore disposant d'Insight peuvent repérer les actifs vulnérables en utilisant la requête appropriée :
SELECT name, version
FROM npm_packages
WHERE LOWER(name) IN ('react', 'react-dom', 'react-server-dom-webpack', 'react-server-dom-parcel', 'react-server-dom-turbopack')
AND version IN ('19.0.0', '19.1.0', '19.1.1', '19.2.0')
UNION ALL
SELECT name, version
FROM npm_packages
WHERE LOWER(name) = 'next'
AND ((version LIKE '15.%' AND version < '15.1.3') OR version LIKE '16.%' OR version >= '14.3.0-canary.77');Toutefois, la mesure de protection la plus efficace reste l'application rapide des correctifs fournis par le fournisseur. En raison de la gravité de cette faille, il est impératif d'appliquer les correctifs dès que possible. Pour plus d'informations sur les correctifs, consultez les articles de blog de React et Next.js.
Restez à l'écoute
Le groupe Security Intelligence d'Akamai continuera de surveiller, générer des rapports et créer des mesures d'atténuation des menaces telles que celles-ci pour nos clients et la communauté de sécurité dans son ensemble. Pour rester au fait des dernières actualités du groupe Security Intelligence d'Akamai, consultez notre page d'accueil de recherche et suivez-nous sur les réseaux sociaux.
Balises
