09.12.2025 - Sicherheitslücke in React Server Components

BOC ist sich der aktuellen React Server Components Remote Code Execution-Sicherheitslücke (CVE-2025-55182) bewusst, die die Versionen 19.0, 19.1.0, 19.1.1 und 19.2.0 der folgenden npm-Pakete betrifft:

• react-server-dom-webpack
• react-server-dom-parcel
• react-server-dom-turbopack

Sie betrifft außerdem Next.js mit App Router ab den Versionen >=14.3.0-canary.77, >=15 und >=16.

Nach einer internen Überprüfung bestätigt BOC, dass unsere Softwareprodukte und SaaS-Angebote keine der derzeit als kompromittiert identifizierten npm-Pakete im Zusammenhang mit den React Server Components enthalten.

Derzeit gibt es keine Hinweise, dass unsere Produkte, Build-Systeme oder von BOC betriebene Kundenumgebungen von dieser Sicherheitslücke betroffen sind.

Als Vorsichtsmaßnahme und im Einklang mit bewährten Industriestandards für die Sicherheit der Softwarelieferkette haben wir zusätzliche Maßnahmen umgesetzt. Dazu gehören die Validierung und kontinuierliche Überwachung unserer Software Bill of Materials (SBOMs) auf bekannte betroffene Pakete sowie die erneute Überprüfung der Integrität unserer Build-Pipelines.

Diese Maßnahmen ergänzen unser laufendes Sicherheitsprogramm, das kontinuierliche Überwachung von Abhängigkeiten, Schwachstellenmanagement und einen sicheren Entwicklungslebenszyklus gemäß den aktuellen Empfehlungen zur Lieferkettensicherheit umfasst.

BOC verpflichtet sich, ein starkes Sicherheitsniveau aufrechtzuerhalten und transparent über Entwicklungen im Bereich der Softwarelieferkettensicherheit zu informieren.