09.12.2025 - Luka w zabezpieczeniach React Server Components

BOC jest świadome niedawnej luki w zabezpieczeniach React Server Components umożliwiającej zdalne wykonanie kodu (CVE-2025-55182), która dotyczy wersji 19.0, 19.1.0, 19.1.1 oraz 19.2.0 następujących pakietów npm:

• react-server-dom-webpack
• react-server-dom-parcel
• react-server-dom-turbopack

Dotyczy to również Next.js używającego App Router.  Wpływa na wersje >=14.3.0-canary.77, >=15 oraz >=16.

Po wewnętrznym przeglądzie BOC potwierdza, że nasze produkty programowe i usługi SaaS nie zawierają żadnych z pakietów NPM które obecnie zostały zidentyfikowane jako zagrożone w związku z React Server Components . 

W tej chwili nie ma żadnych dowodów na to, że nasze produkty, systemy budowania lub środowiska klientów zarządzane przez BOC zostały dotknięte tą luką. 

Dla zachowania ostrożności oraz zgodnie z najlepszymi praktykami branżowymi dotyczącymi bezpieczeństwa łańcucha dostaw oprogramowania, wdrożyliśmy dodatkowe środki, w tym weryfikację oraz ciągły monitoring naszych list materiałowych oprogramowania (SBOMs) pod kątem znanych zagrożonych pakietów oraz ponowną weryfikację integralności naszych procesów budowania. 

Te działania uzupełniają nasz bieżący program bezpieczeństwa, który obejmuje ciągły monitoring zależności, zarządzanie lukami w zabezpieczeniach oraz praktyki bezpiecznego cyklu życia rozwoju zgodne z aktualnymi wytycznymi dotyczącymi łańcucha dostaw. 

Jesteśmy zobowiązani do utrzymywania silnej postawy w zakresie bezpieczeństwa oraz transparentnej komunikacji na temat rozwoju sytuacji w obszarze łańcucha dostaw oprogramowania.