 您现在位置 : 首页 > 网络安全 > 安全预警

Next.js 远程代码执行漏洞

发布时间：2026-05-19 来源：网络浏览：次

【字体大小：大中小】

基本信息

微步编号：

XVE-2025-42738

漏洞编号：

CVE-2025-66478CNVD-2025-29923

漏洞类型：

远程代码执行

漏洞平台：

应用程序

利用方式：

可远程利用

漏洞描述：

Next.js 是一个广受欢迎的 React 框架，它提供了一系列功能和优化，帮助开发者构建快速、可扩展且用户友好的应用程序。由于Next.js 15.x和16.x版本在使用App Router时，依赖了存在缺陷的React服务端DOM包，导致攻击者同样可以注入恶意代码远程执行命令

风险评估

微步评估

仅对“漏洞订阅用户”开放，了解请前往漏洞情报订阅

CVSS评估

CVSS 4.0

CVSS 3.X

CVSS 2.0

危害等级：中危评分：6.9评估公式：AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N

AV 利用漏洞的网络条件

N 可远程利用

A 只能特定网络环境利用

L 只能本地利用

P 只能通过物理接触利用

X 暂无信息

AC 是否需要绕过安全机制

L 不需要

H 需要

X 暂无信息

AT 对被攻击系统的要求

N 默认配置

P 需要特定配置

X 暂无信息

PR 利用漏洞的权限要求

N 无需任何权限

L 低权限

H 高权限

X 暂无信息

UI 是否需要受害者配合

N 不需要

P 需要受害者被动配合

A 需要受害者主动配合

X 暂无信息

VC 对攻击系统影响-机密性

H 高

L 低

N 无影响

X 暂无信息

VI 对攻击系统影响-完整性

H 高

L 低

N 无影响

X 暂无信息

VA 对被攻击系统影响-可用性

H 高

L 低

N 无影响

X 暂无信息

SC 对其他受牵连系统的影响-机密性

H 高

L 低

N 无影响

X 暂无信息

SI 对其他受牵连系统的影响-完整性

H 高

L 低

N 无影响

X 暂无信息

SA 对其他受牵连系统的影响-可用性

H 高

L 低

N 无影响

X 暂无信息

影响范围

影响厂商/产品

1.Zeit>Next.js
2.Vercel>Next.js

漏洞排查

公开 PoC (144)

poc-cve-2025-55182

来源：github

React2Shell

来源：github

rsc-security-auditor

来源：github

CVE-2025-55182-React2Shell-Async-Scanner

来源：github

react2shell

来源：github

react2shell-CVE-2025-55182-full-rce-script

来源：github

CVE-2025-55182

来源：github

react2shell

来源：github

CVE-2025-66478-single-nextjs-yarn-zero-installs

来源：github

react2shell

来源：github

共144个

仅对“漏洞订阅用户”开放，了解请前往漏洞情报订阅

产品修复方案

厂商已发布公告修复漏洞，请按照官方指导修复漏洞

公告链接:

https://nextjs.org/blog/CVE-2025-66478

来源:

微步情报局

公告链接:

https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

来源:

cnvd

官方已发布新版本修复该漏洞，建议受影响的用户升级至v16.0.7、v15.5.7、v15.4.8、v15.3.6、v15.2.6、v15.1.9或v15.0.5以上版本

来源:

XGPT

Next.js是一个用于构建全栈Web应用程序的React框架。 ZEIT Next.js存在远程代码执行漏洞，该漏洞源于Next.js 15.x和16.x版本在使用App Router时，依赖了存在缺陷的React服务端DOM包，攻击者可利用该漏洞注入恶意代码远程执行命令。目前，供应商发布了安全公告及相关补丁信息，修复了此漏洞。

补丁链接:

https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

来源:

cnvd

顶部

Next.js 远程代码执行漏洞

相关新闻