Isang bagong bug sa React na maaaring makaubos ng lahat ng iyong mga token ay nakakaapekto sa 'libo-libong' mga website

Isangkritikal na kahinaan sa React Server Components ay aktibong sinasamantala ng maraming grupo ng mga banta, na naglalagay sa libu-libong website — kabilang ang mga Crypto platform — sa agarang panganib kung saan posibleng maubos ang lahat ng kanilang mga asset ng mga user, kung sakaling maapektuhan.

Ang depekto, na sinusubaybayan bilang CVE-2025-55182 at binansagangReact2Shell, ay nagpapahintulot sa mga attacker na isagawa ang code nang malayuan sa mga apektadong server nang walang authentication. Isiniwalat ng mga tagapangasiwa ng React ang isyu noong Disyembre 3 at binigyan ito ng pinakamataas na posibleng severity score.

Di-nagtagal matapos ang Disclosure, naobserbahan ng GTIG ang malawakang pagsasamantala ng mga kriminal na may motibasyon sa pananalapi at mga pinaghihinalaang grupo ng pag-hack na sinusuportahan ng estado, na tinatarget ang mga hindi pa na-patch na React at Next.js application sa mga cloud environment.

Ang ginagawa ng kahinaan

Ang mga React Server Component ay ginagamit upang patakbuhin ang mga bahagi ng isang web application nang direkta sa isang server sa halip na sa browser ng isang user. Ang kahinaan ay nagmumula sa kung paano idine-decode ng React ang mga papasok na request sa mga server-side function na ito.

Sa madaling salita, ang mga umaatake ay maaaring magpadala ng isang espesyal na ginawang web Request na nanlilinlang sa server upang magpatakbo ng mga arbitraryong utos, o epektibong ibigay ang kontrol ng sistema sa umaatake.

Naaapektuhan ng bug ang mga bersyon ng React mula 19.0 hanggang 19.2.0, kabilang ang mga paketeng ginagamit ng mga sikat na framework tulad ng Next.js. Kadalasan, sapat na ang pag-install lamang ng mga vulnerable package upang payagan ang paggamit.

Paano ito ginagamit ng mga umaatake

Naidokumento ng Google Threat Intelligence Group (GTIG) ang maraming aktibong kampanya na gumagamit ng depekto upang mag-deploy ng malware, backdoors, at crypto-mining software.

Sinimulan ng ilang attackers na samantalahin ang depekto sa loob ng ilang araw matapos Disclosure upang mag-install ng Monero mining software. Tahimik na kinukunsumo ng mga pag-atakeng ito ang mga mapagkukunan ng server at kuryente, na lumilikha ng kita para sa mga attackers habang pinapababa ang performance ng system para sa mga biktima.

Ang mga Crypto platform ay lubos na umaasa sa mga modernong JavaScript framework tulad ng React at Next.js, na kadalasang humahawak sa mga interaksyon sa wallet, pagpirma ng transaksyon, at pag-apruba ng permit sa pamamagitan ng front-end code.

Kung ang isang website ay nakompromiso, maaaring magpasok ang mga umaatake ng mga malisyosong script na humaharang sa mga interaksyon sa wallet o magre-redirect ng mga transaksyon sa kanilang sariling mga wallet—kahit na nananatiling ligtas ang pinagbabatayang protocol ng blockchain.

Dahil dito, nagiging lubhang mapanganib ang mga kahinaan sa front-end para sa mga user na pumipirma ng mga transaksyon gamit ang mga browser wallet.