Saltar para o conteúdo
Ajuda de emergênciaComeçar agora
Voltar para Ferramentas

Analisador React2Shell

Analise sinais de resposta de React Server Components num alvo autorizado. Os resultados orientam uma revisão manual e não confirmam uma vulnerabilidade específica nem o estado das correções.
Começar a verificação
  • Verificação de email obrigatória
  1. 1Entrada
  2. 2Verifique
  3. 3Verificar
  4. 4Resultados
Passo 1

Introduza os detalhes do destino

Forneça o URL para verificação e o e-mail da sua empresa para verificação. O seu domínio de e-mail deve corresponder ao domínio de destino para evitar verificações não autorizadas.

O URL da aplicação React/Next.js a ser verificado

Deve corresponder ao domínio que está a ser verificado (por exemplo, @exemplo.com para exemplo.com)

Apenas para uso educativo:

Esta ferramenta é fornecida apenas para fins educacionais e de testes de segurança autorizados. Só deve verificar aplicações de sua propriedade ou que tenham permissão explícita por escrito para testar.

Aviso de utilização indevida: A verificação não autorizada de sistemas que não são da sua propriedade pode violar as leis contra fraudes informáticas. O uso indevido desta ferramenta pode ser denunciado às autoridades competentes.

O seu endereço IP: ... está a ser registado por motivos de segurança.

Ao prosseguir, confirma que tem autorização para verificar a aplicação de destino e consente que o Vigilbase armazene as suas informações para registo de segurança e comunicações futuras.

Carregando verificação de segurança...

Sobre esta vulnerabilidade

React2Shell (CVE-2025-55182, também identificada pelo aviso de segurança Next.js CVE-2025-66478) é uma vulnerabilidade crítica de execução remota de código em React Server Components. A CVE-2025-55183 é uma vulnerabilidade distinta de exposição de código-fonte, de gravidade média, e não permite a execução remota de código.

Ver detalhes do CVE

Como funciona este scanner

Este verificador envia pedidos de deteção e analisa padrões de resposta RSC sem executar código malicioso. Estes sinais exigem análise e não confirmam a possibilidade de exploração. Um resultado negativo não demonstra que todas as vulnerabilidades RSC estejam corrigidas. Compare as versões instaladas com os avisos de segurança oficiais do React e do Next.js.

O que é o React2Shell?

React2Shell is the name for CVE-2025-55182, a critical remote code execution vulnerability in React Server Components rated CVSS 10.0. Vulnerable versions unsafely deserialize payloads sent to Server Function endpoints, so an unauthenticated attacker can send a crafted HTTP request that runs code on the server. React and Next.js disclosed it on December 3, 2025, with patched releases available the same day.

A React2Shell check looks for remote-code-execution exposure signals on React Server Components / Next.js surfaces. Vigilbase uses safe, non-exploitative probes and requires email verification because the scan is intrusive. Use it only on authorized targets.

O React2Shell em resumo

Lachlan Davidson, que comunicou a falha à Meta, documenta-a como React2Shell. Os factos abaixo provêm dos avisos do React, do Next.js, do GitHub e da NVD indicados em Fontes.
CVE
CVE-2025-55182
Severity
Critical, CVSS 10.0
Type
Unauthenticated remote code execution (CWE-502)
Disclosed
December 3, 2025

Next.js first tracked the downstream impact as CVE-2025-66478. That CVE record was rejected as a duplicate of CVE-2025-55182, so both identifiers refer to the same flaw. CISA added CVE-2025-55182 to its Known Exploited Vulnerabilities catalog on December 5, 2025.

Versões afetadas e corrigidas

A correção é atualizar. O aviso do Next.js indica que não existe alternativa.

React

react-server-dom-webpack, react-server-dom-parcel and react-server-dom-turbopack versions 19.0.0, 19.1.0, 19.1.1 and 19.2.0 are affected. React fixed the vulnerability in 19.0.1, 19.1.2 and 19.2.1. Frameworks and bundlers built on these packages are affected too, including Next.js, React Router, Waku, @parcel/rsc, @vitejs/plugin-rsc and rwsdk.

React later disclosed denial-of-service and source code exposure issues in the same packages (CVE-2025-55184, CVE-2025-67779, CVE-2025-55183 and CVE-2026-23864). They do not allow remote code execution, and the React2Shell patch remains effective, but React lists 19.0.4, 19.1.5 and 19.2.4 as the safe versions. Upgrade to the latest patched release in your line.

Next.js

Apps using React Server Components with the App Router are affected on Next.js 15.x, 16.x and 14.3.0-canary.77 or later canary releases. Next.js 13.x, Next.js 14.x stable, Pages Router applications and the Edge Runtime are not affected. On a 14.3 canary, downgrade to the latest stable 14.x release.

Release lineFirst fixed version
15.0.x15.0.5
15.1.x15.1.9
15.2.x15.2.6
15.3.x15.3.6
15.4.x15.4.8
15.5.x15.5.7
16.0.x16.0.7
15.x canary15.6.0-canary.58
16.x canary16.1.0-canary.12

Next.js recommends rotating application secrets after patching, and strongly encourages it if the app was online and unpatched as of December 4, 2025 at 1:00 PM PT.

Next.js also publishes an interactive tool that checks your version and applies the recommended upgrade:

npx fix-react2shell-next

Cronologia da divulgação

  1. November 29, 2025Lachlan Davidson reports the vulnerability to Meta through its bug bounty program.
  2. November 30, 2025Meta security researchers confirm the vulnerability.
  3. December 1, 2025A fix is created and the React team starts coordinating with hosting providers and open source projects.
  4. December 3, 2025Patched React packages are published to npm and the issue is disclosed as CVE-2025-55182. Next.js publishes its advisory the same day.
  5. December 5, 2025CISA adds CVE-2025-55182 to its Known Exploited Vulnerabilities catalog.
  6. December 6, 2025Next.js releases the npx fix-react2shell-next upgrade tool and advises rotating secrets for apps that were online and unpatched as of December 4, 2025 at 1:00 PM PT.
  7. December 11, 2025React discloses follow-up denial-of-service (CVE-2025-55184, CVE-2025-67779) and source code exposure (CVE-2025-55183) issues in the same packages.
  8. January 26, 2026React discloses a further denial-of-service issue, CVE-2026-23864, and states that versions 19.0.4, 19.1.5 and 19.2.4 are safe.

Fontes

Perguntas

Perguntas frequentes sobre o React2Shell

O que é o React2Shell?

O React2Shell é a CVE-2025-55182, uma vulnerabilidade crítica (CVSS 10.0) de execução remota de código sem autenticação nos React Server Components, divulgada a 3 de dezembro de 2025. As versões vulneráveis desserializam de forma insegura os dados enviados para endpoints de Server Functions, o que pode permitir a um atacante executar código no servidor.Afeta o react-server-dom-webpack, o react-server-dom-parcel e o react-server-dom-turbopack nas versões 19.0.0, 19.1.0, 19.1.1 e 19.2.0, bem como as frameworks baseadas neles, incluindo o Next.js com o App Router.

Que versões do React e do Next.js corrigem o React2Shell?

O React corrigiu a vulnerabilidade nas versões 19.0.1, 19.1.2 e 19.2.1. O Next.js corrigiu-a nas versões 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 e 16.0.7. Avisos posteriores do React sobre problemas relacionados de negação de serviço e exposição de código-fonte exigem a 19.0.4, a 19.1.5 ou a 19.2.4, por isso atualize para a versão corrigida mais recente da sua linha.O Next.js 13.x, o Next.js 14.x estável, as aplicações com Pages Router e o Edge Runtime não são afetados. O Next.js indica que não existe alternativa: é obrigatório atualizar.

Qual é a diferença entre a CVE-2025-55182 e a CVE-2025-66478?

A CVE-2025-55182 é a vulnerabilidade do React. O Next.js publicou a CVE-2025-66478 para acompanhar o impacto nas aplicações Next.js, mas o registo CVE foi rejeitado a 3 de dezembro de 2025 por ser um duplicado da CVE-2025-55182. Ambos os identificadores referem-se à mesma falha React2Shell.

O que é o Verificador React2Shell?

É uma ferramenta da Vigilbase que testa um URL público autorizado para identificar sinais de resposta de React Server Components. Os resultados orientam uma avaliação manual; as respostas normais do protocolo não confirmam uma CVE nem a possibilidade de exploração.Trate um sinal identificado como evidência a investigar com o responsável pela aplicação. Confirme a framework implementada e a versão afetada antes de escolher a correção e verifique depois a aplicação atualizada.Requisitos de acesso e verificação das ferramentasVerificação de segurança do site

A análise React2Shell é intrusiva?

Sim. Ao contrário das verificações de DNS ou de cabeçalhos, o React2Shell envia pedidos de teste à aplicação de destino. Analise apenas sistemas seus ou para os quais tenha autorização explícita. É necessário verificar o e-mail antes de executar a análise.Receber um código de verificação não prova que o alvo lhe pertence ou que tem autorização para o testar. Confirme a autorização e o alvo pretendido antes de enviar sondagens à aplicação.Requisitos de acesso e verificação das ferramentasVerificador de Cabeçalhos de Segurança HTTP

Os agentes podem executar o React2Shell autonomamente através da API?

Não. Os verificadores intrusivos exigem intervenção no navegador. Os agentes autónomos devem utilizar as APIs não intrusivas de Cabeçalhos de Segurança ou Segurança de E-mail e encaminhar os operadores para a interface React2Shell quando for necessário um teste autorizado.Execute uma verificação através da API públicaRequisitos de acesso e verificação das ferramentas

O Verificador React2Shell é gratuito?

Sim. O verificador público é gratuito após a verificação do e-mail. Não precisa de uma conta Vigilbase para executar uma verificação.O acesso gratuito não elimina a necessidade de autorização. Os resultados limitam-se ao comportamento observado nas sondagens e não devem ser tratados como uma avaliação completa da segurança da aplicação.Compare as verificações públicas de segurançaRequisitos de acesso e verificação das ferramentas