Главное:
- Обнаруженная уязвимость CVE-2025-55182 позволяет запускать команды на сервере без проверки личности пользователя.
- В зоне уязвимости оказались сайты на React версий 19.0–19.2.0, включая проекты с криптокошельками и транзакциями.
В популярном JavaScript-фреймворке React выявлена опасная ошибка, которая дает хакерам возможность получить контроль над серверной частью веб-приложений. По данным специалистов, проблема уже применяется в реальных атаках и затрагивает тысячи сайтов по всему миру.
Особую тревогу ситуация вызывает у криптовалютных сервисов. Именно такие платформы чаще всего используют React и связанные с ним инструменты для интерфейсов кошельков, подтверждения операций и управления транзакциями.
Что именно пошло не так
Уязвимость связана с механизмами обработки серверной логики, которые React использует для выполнения части кода вне браузера. Из-за ошибки в интерпретации входящих запросов сервер может некорректно обрабатывать данные, поступающие извне.
В результате злоумышленник способен отправить специально подготовленный запрос и добиться выполнения произвольных инструкций на сервере. При этом не требуется ни учетная запись, ни доступ к внутренним системам.
Проблема затрагивает линейку React с версии 19.0 по 19.2.0, а также проекты, построенные на базе Next.js. Во многих случаях для атаки достаточно самого факта использования уязвимых библиотек.
Чем это грозит криптоплатформам
Исследователи Google Threat Intelligence Group сообщили о нескольких активных кампаниях, в которых эта ошибка используется для внедрения постороннего кода.
Отдельные инциденты связаны с нелегальной добычей Monero, когда вычислительные мощности серверов используются без ведома владельцев сайтов. Это приводит к падению производительности и росту расходов на инфраструктуру.
Для криптосервисов последствия могут быть куда серьезнее. После компрометации сайта злоумышленники получают возможность внедрять вредоносный код в пользовательские интерфейсы. Такой код способен подменять адреса получателей, изменять параметры транзакций или перехватывать действия перед их подтверждением.
Даже при полностью исправной работе блокчейна пользователь может потерять активы, если взаимодействует с зараженным фронтендом.
