Saltar para o conteúdo
Ajuda de emergênciaComeçar agora
Voltar para Ferramentas

Analisador React2Shell

Analise sinais de resposta de React Server Components num alvo autorizado. Os resultados orientam uma revisão manual e não confirmam uma vulnerabilidade específica nem o estado das correções.
Começar a verificação
  • Verificação de email obrigatória
  1. 1Entrada
  2. 2Verifique
  3. 3Verificar
  4. 4Resultados
Passo 1

Introduza os detalhes do destino

Forneça o URL para verificação e o e-mail da sua empresa para verificação. O seu domínio de e-mail deve corresponder ao domínio de destino para evitar verificações não autorizadas.

O URL da aplicação React/Next.js a ser verificado

Deve corresponder ao domínio que está a ser verificado (por exemplo, @exemplo.com para exemplo.com)

Carregando verificação de segurança...

Apenas para uso educativo:

Esta ferramenta é fornecida apenas para fins educacionais e de testes de segurança autorizados. Só deve verificar aplicações de sua propriedade ou que tenham permissão explícita por escrito para testar.

Aviso de utilização indevida: A verificação não autorizada de sistemas que não são da sua propriedade pode violar as leis contra fraudes informáticas. O uso indevido desta ferramenta pode ser denunciado às autoridades competentes.

O seu endereço IP: ... está a ser registado por motivos de segurança.

Ao prosseguir, confirma que tem autorização para verificar a aplicação de destino e consente que o Vigilbase armazene as suas informações para registo de segurança e comunicações futuras.

Apresentamos a Plataforma Vigilbase

O sistema operativo da cibersegurança.

Ligue as ferramentas de segurança que já paga. Crie painéis personalizados em minutos, com todos os registos e eventos auditáveis e pesquisáveis num único lugar.

Começar agoraExplorar Cloudflare gerido
one.vigilbase.com/acme.examplePré-visualização · dados de exemplo

Sistema de segurança da Acme

3 fontes ligadas

A receber dados
Cloudflare

Ameaças mitigadas

0

AWS

Alterações de root e IAM

0

GitHub

Alterações de segurança da organização

0

events | where severity >= medium | last 24h
    Agente VigilA trabalhar
    1. Investigar Pico de credential stuffing contra /login
    2. Corrigir Regra de limite de taxa aplicada no edge
    3. Verificar Tráfego de ataque reduzido 98% em cinco minutos

    Sobre esta vulnerabilidade

    React2Shell (CVE-2025-55182, também identificada pelo aviso de segurança Next.js CVE-2025-66478) é uma vulnerabilidade crítica de execução remota de código em React Server Components. A CVE-2025-55183 é uma vulnerabilidade distinta de exposição de código-fonte, de gravidade média, e não permite a execução remota de código.

    Ver detalhes do CVE

    Como funciona este scanner

    Este verificador envia pedidos de deteção e analisa padrões de resposta RSC sem executar código malicioso. Estes sinais exigem análise e não confirmam a possibilidade de exploração. Um resultado negativo não demonstra que todas as vulnerabilidades RSC estejam corrigidas. Compare as versões instaladas com os avisos de segurança oficiais do React e do Next.js.

    O que é o React2Shell?

    React2Shell é o nome dado à CVE-2025-55182, uma vulnerabilidade crítica de execução remota de código nos React Server Components, classificada com CVSS 10.0. As versões vulneráveis desserializam de forma insegura os dados enviados para endpoints de Server Functions, pelo que um atacante sem autenticação pode enviar um pedido HTTP manipulado que executa código no servidor. O React e o Next.js divulgaram-na a 3 de dezembro de 2025, com versões corrigidas disponíveis no mesmo dia.

    Uma verificação React2Shell procura sinais de exposição à execução remota de código em superfícies de React Server Components e Next.js. A Vigilbase utiliza pedidos de teste seguros, sem explorar vulnerabilidades, e exige verificação de e-mail porque a análise é intrusiva. Utilize-a apenas em alvos autorizados.

    O React2Shell em resumo

    Lachlan Davidson, que comunicou a falha à Meta, documenta-a como React2Shell. Os factos abaixo provêm dos avisos do React, do Next.js, do GitHub e da NVD indicados em Fontes.
    CVE
    CVE-2025-55182
    Gravidade
    Crítica, CVSS 10.0
    Tipo
    Execução remota de código sem autenticação (CWE-502)
    Divulgada
    3 de dezembro de 2025

    O Next.js começou por acompanhar o impacto a jusante como CVE-2025-66478. Esse registo CVE foi rejeitado por ser um duplicado da CVE-2025-55182, pelo que ambos os identificadores se referem à mesma falha. A CISA adicionou a CVE-2025-55182 ao seu catálogo Known Exploited Vulnerabilities a 5 de dezembro de 2025.

    Versões afetadas e corrigidas

    A correção é atualizar. O aviso do Next.js indica que não existe alternativa.

    React

    As versões 19.0.0, 19.1.0, 19.1.1 e 19.2.0 do react-server-dom-webpack, do react-server-dom-parcel e do react-server-dom-turbopack são afetadas. O React corrigiu a vulnerabilidade nas versões 19.0.1, 19.1.2 e 19.2.1. As frameworks e os bundlers baseados nestes pacotes também são afetados, incluindo o Next.js, o React Router, o Waku, o @parcel/rsc, o @vitejs/plugin-rsc e o rwsdk.

    Mais tarde, o React divulgou problemas de negação de serviço e de exposição de código-fonte nos mesmos pacotes (CVE-2025-55184, CVE-2025-67779, CVE-2025-55183 e CVE-2026-23864). Não permitem execução remota de código e a correção do React2Shell continua eficaz, mas o React indica as versões 19.0.4, 19.1.5 e 19.2.4 como seguras. Atualize para a versão corrigida mais recente da sua linha.

    Next.js

    As aplicações que usam React Server Components com o App Router são afetadas no Next.js 15.x, 16.x e 14.3.0-canary.77 ou versões canary posteriores. O Next.js 13.x, o Next.js 14.x estável, as aplicações com Pages Router e o Edge Runtime não são afetados. Numa versão canary 14.3, reverta para a versão estável 14.x mais recente.

    Linha de versõesPrimeira versão corrigida
    15.0.x15.0.5
    15.1.x15.1.9
    15.2.x15.2.6
    15.3.x15.3.6
    15.4.x15.4.8
    15.5.x15.5.7
    16.0.x16.0.7
    15.x canary15.6.0-canary.58
    16.x canary16.1.0-canary.12

    O Next.js recomenda renovar os segredos da aplicação depois de aplicar a correção, e aconselha-o vivamente se a aplicação estava online e sem correção a 4 de dezembro de 2025, às 13:00 PT.

    O Next.js disponibiliza também uma ferramenta interativa que verifica a sua versão e aplica a atualização recomendada:

    npx fix-react2shell-next

    Cronologia da divulgação

    1. 29 de novembro de 2025Lachlan Davidson comunica a vulnerabilidade à Meta através do respetivo programa de bug bounty.
    2. 30 de novembro de 2025Os investigadores de segurança da Meta confirmam a vulnerabilidade.
    3. 1 de dezembro de 2025É criada uma correção e a equipa do React começa a coordenar-se com fornecedores de alojamento e projetos open source.
    4. 3 de dezembro de 2025Os pacotes React corrigidos são publicados no npm e o problema é divulgado como CVE-2025-55182. O Next.js publica o seu aviso no mesmo dia.
    5. 5 de dezembro de 2025A CISA adiciona a CVE-2025-55182 ao seu catálogo Known Exploited Vulnerabilities.
    6. 6 de dezembro de 2025O Next.js lança a ferramenta de atualização npx fix-react2shell-next e aconselha a renovação dos segredos das aplicações que estavam online e sem correção a 4 de dezembro de 2025, às 13:00 PT.
    7. 11 de dezembro de 2025O React divulga novos problemas de negação de serviço (CVE-2025-55184, CVE-2025-67779) e de exposição de código-fonte (CVE-2025-55183) nos mesmos pacotes.
    8. 26 de janeiro de 2026O React divulga mais um problema de negação de serviço, a CVE-2026-23864, e indica que as versões 19.0.4, 19.1.5 e 19.2.4 são seguras.

    Fontes

    Perguntas

    Perguntas frequentes sobre o React2Shell

    O que é o React2Shell?

    O React2Shell é a CVE-2025-55182, uma vulnerabilidade crítica (CVSS 10.0) de execução remota de código sem autenticação nos React Server Components, divulgada a 3 de dezembro de 2025. As versões vulneráveis desserializam de forma insegura os dados enviados para endpoints de Server Functions, o que pode permitir a um atacante executar código no servidor.Afeta o react-server-dom-webpack, o react-server-dom-parcel e o react-server-dom-turbopack nas versões 19.0.0, 19.1.0, 19.1.1 e 19.2.0, bem como as frameworks baseadas neles, incluindo o Next.js com o App Router.

    Que versões do React e do Next.js corrigem o React2Shell?

    O React corrigiu a vulnerabilidade nas versões 19.0.1, 19.1.2 e 19.2.1. O Next.js corrigiu-a nas versões 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 e 16.0.7. Avisos posteriores do React sobre problemas relacionados de negação de serviço e exposição de código-fonte exigem a 19.0.4, a 19.1.5 ou a 19.2.4, por isso atualize para a versão corrigida mais recente da sua linha.O Next.js 13.x, o Next.js 14.x estável, as aplicações com Pages Router e o Edge Runtime não são afetados. O Next.js indica que não existe alternativa: é obrigatório atualizar.

    Qual é a diferença entre a CVE-2025-55182 e a CVE-2025-66478?

    A CVE-2025-55182 é a vulnerabilidade do React. O Next.js publicou a CVE-2025-66478 para acompanhar o impacto nas aplicações Next.js, mas o registo CVE foi rejeitado a 3 de dezembro de 2025 por ser um duplicado da CVE-2025-55182. Ambos os identificadores referem-se à mesma falha React2Shell.

    O que é o Verificador React2Shell?

    É uma ferramenta da Vigilbase que testa um URL público autorizado para identificar sinais de resposta de React Server Components. Os resultados orientam uma avaliação manual; as respostas normais do protocolo não confirmam uma CVE nem a possibilidade de exploração.Trate um sinal identificado como evidência a investigar com o responsável pela aplicação. Confirme a framework implementada e a versão afetada antes de escolher a correção e verifique depois a aplicação atualizada.Requisitos de acesso e verificação das ferramentasVerificação de segurança do site

    A análise React2Shell é intrusiva?

    Sim. Ao contrário das verificações de DNS ou de cabeçalhos, o React2Shell envia pedidos de teste à aplicação de destino. Analise apenas sistemas seus ou para os quais tenha autorização explícita. É necessário verificar o e-mail antes de executar a análise.Receber um código de verificação não prova que o alvo lhe pertence ou que tem autorização para o testar. Confirme a autorização e o alvo pretendido antes de enviar sondagens à aplicação.Requisitos de acesso e verificação das ferramentasVerificador de Cabeçalhos de Segurança HTTP

    Os agentes podem executar o React2Shell autonomamente através da API?

    Não. Os verificadores intrusivos exigem intervenção no navegador. Os agentes autónomos devem utilizar as APIs não intrusivas de Cabeçalhos de Segurança ou Segurança de E-mail e encaminhar os operadores para a interface React2Shell quando for necessário um teste autorizado.Execute uma verificação através da API públicaRequisitos de acesso e verificação das ferramentas

    O Verificador React2Shell é gratuito?

    Sim. O verificador público é gratuito após a verificação do e-mail. Não precisa de uma conta Vigilbase para executar uma verificação.O acesso gratuito não elimina a necessidade de autorização. Os resultados limitam-se ao comportamento observado nas sondagens e não devem ser tratados como uma avaliação completa da segurança da aplicação.Compare as verificações públicas de segurançaRequisitos de acesso e verificação das ferramentas