Kritische Schwachstelle in React Server Components
Seit einigen Tagen mehren sich die Berichte und Warnungen zu der React Server Components Schwachstelle. Wir erklären worum es sich handelt und wie man seine Webanwendungen testen kann.
Die React2Shell ist eine als kritische eingestufte Sicherheitslücke in React bzw. in dessen „Server Components und wird unter dem CVE-2025-55182 mit einer Bewertung von CVSS 10.0 gelistet.
React JS ist eine Open Source JavaScript-Bibliothek und gehört zu den am meisten genutzten Frontend-Frameworks für Webanwendungen zum erstellen von Benutzeroberflächen. Daher ist es sehr verbreitet und es können Millionen Webanwendungen betroffen sein.
Nicht alle Hersteller reagieren auf diese Lücke und geben entweder Entwarnung oder veröffentlichen Patches und oft weiß man als Betreiber gar nicht, ob die eingesetzten Webandwendungen betroffen sind.
Daher empfiehlt sich die eigene Prüfung der Webanwendungen mittels der veröffentlichen React2Shell Scanner.
React2Shell Scanner unter Linux (Ubuntu 24.04 LTS ) installieren
Wir bedienen uns hier des React2Shell Scanner aus dem Github Repository von Assetnote Security Research Team: https://github.com/assetnote/react2shell-scanner/tree/master und nutzen das Script unter Linux.
Als erstes wechseln wir in das Verzeichnis /opt und installieren die notwendigen Abhängigkeiten:
cd /opt
apt install gitNun laden wir uns das Script aus dem GitHub Repository herunter und wechseln in das neue Verzeichnis:
git clone --recursive https://github.com/assetnote/react2shell-scanner.git
cd react2shell-scannerDas Script nutzt Python und daher installieren wir python und pip:
apt-get install python3
apt-get install pipDie weiteren Python Abhängigkeiten sind in der requirements.txt enthalten und können wir mit folgendem Befehl installieren:
pip install -r requirements.txtNun können wir entweder eine einzelne Webanwendung scannen:
python3 scanner.py -u https://example.comOder wir tragen mehrere Webanwendungen in die hosts.txt ein, je Zeile eine Weburl im Format https://example.com
nano hosts.txtDamit das Script die hosts.txt Datei beachtet, starten wir den Scan mit:
python3 scanner.py -l hosts.txtDas Ergebnis sieht wie folgt aus:
Gerne beraten wir Sie und testen Ihre Webanwendung auf die React Server Components Schwachstelle. Nutzen Sie unser Kontaktformular für eine unverbindliche Anfrage.
