انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
العودة إلى الأدوات

ماسح React2Shell

افحص إشارات استجابة React Server Components على هدف مصرح به. تساعد النتائج على المراجعة اليدوية، ولا تؤكد ثغرة محددة أو حالة الإصلاح.
ابدأ فحصًا
  • التحقق من البريد الإلكتروني مطلوب
  1. 1حقل إدخال
  2. 2تحقق
  3. 3افحص
  4. 4النتائج
الخطوة 1

أدخل تفاصيل الهدف

أدخل URL المراد فحصه وبريد شركتك الإلكتروني للتحقق. يجب أن يطابق نطاق بريدك النطاق المستهدف لمنع الفحص غير المصرّح به.

URL تطبيق React أو Next.js المراد فحصه

يجب أن يطابق النطاق المفحوص، مثل @example.com للنطاق example.com

جارٍ تحميل التحقق الأمني...

للاستخدام التعليمي فقط:

تُقدّم هذه الأداة للأغراض التعليمية والاختبارات الأمنية المصرّح بها فقط. يجب ألا تفحص إلا التطبيقات التي تملكها أو لديك إذن كتابي صريح باختبارها.

تحذير من إساءة الاستخدام: قد يخالف الفحص غير المصرّح به لأنظمة لا تملكها قوانين الاحتيال الحاسوبي. وقد يُبلّغ عن إساءة استخدام هذه الأداة إلى السلطات المختصة.

عنوان IP الخاص بك: ... يُسجّل لأغراض أمنية.

بالمتابعة، تؤكد أن لديك تصريحًا بفحص التطبيق المستهدف، وتوافق على تخزين Vigilbase لمعلوماتك لأغراض التسجيل الأمني والتواصل المستقبلي.

نقدّم منصة Vigilbase

نظام التشغيل للأمن السيبراني.

اربط أدوات الأمان التي تدفع مقابلها بالفعل. أنشئ لوحات معلومات مخصّصة خلال دقائق، مع سجلات وأحداث قابلة للتدقيق والاستعلام في مكان واحد.

ابدأ الآناستكشف خدمات Cloudflare المُدارة
one.vigilbase.com/acme.exampleمعاينة · بيانات تجريبية

نظام أمان Acme

3 مصادر متصلة

جارٍ استقبال البيانات
Cloudflare

تهديدات تم التصدي لها

0

AWS

تغييرات الحساب الجذري وIAM

0

GitHub

تغييرات أمان المؤسسة

0

events | where severity >= medium | last 24h
    وكيل Vigilيعمل
    1. التحقيق موجة حشو بيانات اعتماد ضد /login
    2. المعالجة نشر قاعدة تحديد المعدل على الحافة
    3. التحقق انخفاض حركة الهجوم بنسبة 98% خلال خمس دقائق

    حول هذه الثغرة

    React2Shell، بمعرّف CVE-2025-55182 والذي تتناوله أيضًا نشرة Next.js بمعرّف CVE-2025-66478، ثغرة حرجة لتنفيذ تعليمات برمجية عن بُعد في React Server Components. أما CVE-2025-55183 فهي مشكلة منفصلة متوسطة الشدة لانكشاف الشيفرة المصدرية، ولا تسمح بتنفيذ تعليمات برمجية عن بُعد.

    عرض تفاصيل CVE

    كيف يعمل هذا الفاحص

    يرسل هذا الفاحص طلبات للكشف ويفحص أنماط استجابة RSC من دون تنفيذ شيفرة خبيثة. تحتاج هذه الإشارات إلى مراجعة، ولا تؤكد قابلية الاستغلال. ولا تثبت النتيجة السلبية إصلاح جميع ثغرات RSC. تحقق من الإصدارات المثبتة مقارنة بنشرات React وNext.js الرسمية.

    ما React2Shell؟

    React2Shell هو الاسم الذي يُطلق على الثغرة CVE-2025-55182، وهي ثغرة حرجة لتنفيذ التعليمات البرمجية عن بُعد في React Server Components مصنّفة بدرجة CVSS 10.0. تُلغي الإصدارات المعرّضة تسلسل الحمولات المرسلة إلى نقاط نهاية Server Functions بطريقة غير آمنة، لذا يستطيع مهاجم غير مصادَق إرسال طلب HTTP معدّ خصيصًا يشغّل تعليمات برمجية على الخادم. وأفصح عنها React وNext.js في 3 ديسمبر 2025، مع توفر إصدارات مُصلَحة في اليوم نفسه.

    يبحث فحص React2Shell عن إشارات انكشاف لتنفيذ تعليمات برمجية عن بُعد في React Server Components وNext.js. تستخدم Vigilbase اختبارات آمنة لا تستغل الثغرات، وتطلب التحقق من البريد الإلكتروني لأن الفحص اقتحامي. استخدمه فقط على أهداف مصرح بفحصها.

    React2Shell في لمحة

    يوثّق لاكلان ديفيدسون، الذي أبلغ Meta بالثغرة، هذه الثغرة باسم React2Shell. وتستند الحقائق أدناه إلى نشرات React وNext.js وGitHub وNVD المدرجة تحت المصادر.
    CVE
    CVE-2025-55182
    الخطورة
    حرجة، CVSS 10.0
    النوع
    تنفيذ تعليمات برمجية عن بُعد دون مصادقة (CWE-502)
    تاريخ الإفصاح
    3 ديسمبر 2025

    تتبّع Next.js في البداية الأثر اللاحق تحت المعرّف CVE-2025-66478. ورُفض سجل CVE هذا لكونه نسخة مكررة من CVE-2025-55182، لذا يشير المعرّفان إلى الثغرة نفسها. وأضافت CISA الثغرة CVE-2025-55182 إلى فهرس Known Exploited Vulnerabilities في 5 ديسمبر 2025.

    الإصدارات المتأثرة والمُصلَحة

    الإصلاح هو التحديث. وتذكر نشرة Next.js أنه لا يوجد حل بديل.

    React

    تتأثر الإصدارات 19.0.0 و19.1.0 و19.1.1 و19.2.0 من react-server-dom-webpack وreact-server-dom-parcel وreact-server-dom-turbopack. وأصلح React الثغرة في الإصدارات 19.0.1 و19.1.2 و19.2.1. وتتأثر كذلك أطر العمل وأدوات التجميع المبنية على هذه الحزم، ومنها Next.js وReact Router وWaku و@parcel/rsc و@vitejs/plugin-rsc وrwsdk.

    أفصح React لاحقًا عن مشكلات لحجب الخدمة وكشف الشيفرة المصدرية في الحزم نفسها (CVE-2025-55184 وCVE-2025-67779 وCVE-2025-55183 وCVE-2026-23864). وهي لا تتيح تنفيذ التعليمات البرمجية عن بُعد، ويظل إصلاح React2Shell فعالًا، لكن React يعدّ الإصدارات 19.0.4 و19.1.5 و19.2.4 هي الإصدارات الآمنة. حدّث إلى أحدث إصدار مُصلَح في فرعك.

    Next.js

    تتأثر التطبيقات التي تستخدم React Server Components مع App Router في Next.js 15.x و16.x و14.3.0-canary.77 أو إصدارات canary اللاحقة. ولا تتأثر إصدارات Next.js 13.x وNext.js 14.x المستقرة وتطبيقات Pages Router وEdge Runtime. وإذا كنت على إصدار canary 14.3، فارجع إلى أحدث إصدار 14.x مستقر.

    فرع الإصدارأول إصدار مُصلَح
    15.0.x15.0.5
    15.1.x15.1.9
    15.2.x15.2.6
    15.3.x15.3.6
    15.4.x15.4.8
    15.5.x15.5.7
    16.0.x16.0.7
    15.x canary15.6.0-canary.58
    16.x canary16.1.0-canary.12

    يوصي Next.js بتدوير أسرار التطبيق بعد التحديث، ويشجّع على ذلك بشدة إذا كان التطبيق متصلًا بالإنترنت وغير مُصلَح حتى 4 ديسمبر 2025 الساعة 1:00 ظهرًا بتوقيت المحيط الهادئ.

    ينشر Next.js أيضًا أداة تفاعلية تتحقق من إصدارك وتطبّق التحديث الموصى به:

    npx fix-react2shell-next

    الجدول الزمني للإفصاح

    1. 29 نوفمبر 2025يبلغ لاكلان ديفيدسون Meta بالثغرة عبر برنامج مكافآت الثغرات لديها.
    2. 30 نوفمبر 2025يؤكد باحثو الأمن في Meta وجود الثغرة.
    3. 1 ديسمبر 2025يُنشأ إصلاح، ويبدأ فريق React التنسيق مع مزوّدي الاستضافة والمشاريع مفتوحة المصدر.
    4. 3 ديسمبر 2025تُنشر حزم React المُصلَحة على npm ويُفصح عن المشكلة باسم CVE-2025-55182. وينشر Next.js نشرته في اليوم نفسه.
    5. 5 ديسمبر 2025تضيف CISA الثغرة CVE-2025-55182 إلى فهرس Known Exploited Vulnerabilities.
    6. 6 ديسمبر 2025يطلق Next.js أداة التحديث npx fix-react2shell-next وينصح بتدوير الأسرار للتطبيقات التي كانت متصلة بالإنترنت وغير مُصلَحة حتى 4 ديسمبر 2025 الساعة 1:00 ظهرًا بتوقيت المحيط الهادئ.
    7. 11 ديسمبر 2025يفصح React عن مشكلات لاحقة لحجب الخدمة (CVE-2025-55184 وCVE-2025-67779) وكشف الشيفرة المصدرية (CVE-2025-55183) في الحزم نفسها.
    8. 26 يناير 2026يفصح React عن مشكلة إضافية لحجب الخدمة، CVE-2026-23864، ويذكر أن الإصدارات 19.0.4 و19.1.5 و19.2.4 آمنة.

    المصادر

    الأسئلة

    أسئلة شائعة عن React2Shell

    ما React2Shell؟

    React2Shell هي الثغرة CVE-2025-55182، وهي ثغرة حرجة (CVSS 10.0) لتنفيذ التعليمات البرمجية عن بُعد دون مصادقة في React Server Components، أُفصح عنها في 3 ديسمبر 2025. تُلغي الإصدارات المعرّضة تسلسل الحمولات المرسلة إلى نقاط نهاية Server Functions بطريقة غير آمنة، ما قد يتيح للمهاجم تشغيل تعليمات برمجية على الخادم.تؤثر في الحزم react-server-dom-webpack وreact-server-dom-parcel وreact-server-dom-turbopack بالإصدارات 19.0.0 و19.1.0 و19.1.1 و19.2.0، وفي أطر العمل المبنية عليها، ومنها Next.js مع App Router.

    ما إصدارات React وNext.js التي تُصلح React2Shell؟

    أصلح React الثغرة في الإصدارات 19.0.1 و19.1.2 و19.2.1، وأصلحها Next.js في الإصدارات 15.0.5 و15.1.9 و15.2.6 و15.3.6 و15.4.8 و15.5.7 و16.0.7. وتتطلب نشرات React اللاحقة بشأن مشكلات ذات صلة بحجب الخدمة وكشف الشيفرة المصدرية الإصدار 19.0.4 أو 19.1.5 أو 19.2.4، لذا حدّث إلى أحدث إصدار مُصلَح في فرعك.لا تتأثر إصدارات Next.js 13.x وNext.js 14.x المستقرة وتطبيقات Pages Router وEdge Runtime. ويذكر Next.js أنه لا يوجد حل بديل، والتحديث إلزامي.

    ما الفرق بين CVE-2025-55182 وCVE-2025-66478؟

    CVE-2025-55182 هي ثغرة React. ونشر Next.js المعرّف CVE-2025-66478 لتتبّع الأثر على تطبيقات Next.js، لكن سجل CVE رُفض في 3 ديسمبر 2025 لكونه نسخة مكررة من CVE-2025-55182. ويشير المعرّفان إلى ثغرة React2Shell نفسها.

    ما فاحص React2Shell؟

    إنها أداة من Vigilbase تختبر URL عامًا مصرحًا به بحثًا عن إشارات استجابة React Server Components. توجه النتائج التقييم اليدوي؛ ولا تؤكد استجابات البروتوكول العادية وجود CVE أو قابلية الاستغلال.تعاملوا مع الإشارة المبلّغ عنها كدليل يحتاج إلى تحقيق مع مالك التطبيق. أكّدوا إطار العمل المنشور والإصدار المتأثر قبل اختيار المعالجة، ثم تحقّقوا من التطبيق المحدّث.متطلبات الوصول إلى الأدوات والتحققفحص أمان المواقع

    هل فحص React2Shell اقتحامي؟

    نعم. بخلاف فحوص DNS أو الترويسات، يرسل React2Shell اختبارات إلى التطبيق المستهدف. افحص فقط الأنظمة التي تملكها أو المصرّح لك صراحة باختبارها. ويلزم التحقق من البريد الإلكتروني قبل التشغيل.استلام رمز تحقق لا يثبت ملكيتكم للهدف أو امتلاككم إذنًا لاختباره. أكّدوا التفويض والهدف المقصود قبل إرسال طلبات فحص إلى التطبيق.متطلبات الوصول إلى الأدوات والتحققفاحص ترويسات أمن HTTP

    هل يستطيع الوكلاء تشغيل React2Shell ذاتيًا عبر API؟

    لا. تظل الفحوص الاقتحامية مشروطة بالتحقق عبر المتصفح. على الوكلاء الذاتيين استخدام واجهات Security Headers أو Email Security غير الاقتحامية، ثم توجيه المشغّلين إلى واجهة React2Shell عند الحاجة إلى اختبار مصرح به.تشغيل فحص عبر API العامةمتطلبات الوصول إلى الأدوات والتحقق

    هل فاحص React2Shell مجاني؟

    نعم. الفاحص العام مجاني بعد التحقق من البريد الإلكتروني. ولا يتطلب تشغيل الفحص حساب Vigilbase.لا يلغي الوصول المجاني شرط الحصول على تفويض. تقتصر النتائج على السلوك المرصود أثناء الفحص، وينبغي ألا تُعامل كتقييم أمني شامل للتطبيق.مقارنة الفحوصات الأمنية العامةمتطلبات الوصول إلى الأدوات والتحقق