CVE-2025-67779 Facebook — эксплойт и детали уязвимости HIGH

Параметр	Значение
CVSS	7,5 (HIGH)
Уязвимые версии	13.3.0 — 16.0.10
Устранено в версии	14.2.35
Тип уязвимости	CWE-400 (Неконтролируемое потребление ресурсов), CWE-502 (Десериализация недоверенных данных)
Поставщик	Facebook
Публичный эксплойт	Нет

It was found that the fix addressing CVE-2025-55184 in React Server Components was incomplete and does not prevent a denial of service attack in a specific case. React Server Components versions 19.0.2, 19.1.3 and 19.2.2 are affected, allowing unsafe deserialization of payloads from HTTP requests to Server Function endpoints. This can cause an infinite loop that hangs the server process and may prevent future HTTP requests from being served.

Характеристики атаки

Способ атаки

По сети

Атака возможна удалённо

Сложность

Низкая

Легко эксплуатировать

Нужны права

Не требуются

Права не нужны

Участие пользователя

Не требуется

Не нужно действие пользователя

Последствия

Конфиденциальность

Нет

Нет утечки данных

Целостность

Нет

Нет модификации данных

Доступность

Высокое

Полный отказ в обслуживании

Строка CVSS v3.1

Тип уязвимости (CWE)

CWE-400 Uncontrolled Resource Consumption (Неконтролируемое потребление ресурсов)

CWE-502 Deserialization of Untrusted Data (Десериализация недоверенных данных)

Уязвимые продукты 92

Конфигурация	От (включительно)	До (исключительно)
Facebook React cpe:2.3:a:facebook:react:19.0.2:::::::*	—	—
Facebook React cpe:2.3:a:facebook:react:19.1.3:::::::*	—	—
Facebook React cpe:2.3:a:facebook:react:19.2.2:::::::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js::::::node.js::*	`13.3.0`	`14.2.35`
Vercel Next.Js cpe:2.3:a:vercel:next.js::::::node.js::*	`15.0.0`	`15.0.7`
Vercel Next.Js cpe:2.3:a:vercel:next.js::::::node.js::*	`15.1.0`	`15.1.11`
Vercel Next.Js cpe:2.3:a:vercel:next.js::::::node.js::*	`15.2.0`	`15.2.8`
Vercel Next.Js cpe:2.3:a:vercel:next.js::::::node.js::*	`15.3.0`	`15.3.8`
Vercel Next.Js cpe:2.3:a:vercel:next.js::::::node.js::*	`15.4.0`	`15.4.10`
Vercel Next.Js cpe:2.3:a:vercel:next.js::::::node.js::*	`15.5.0`	`15.5.9`
Vercel Next.Js cpe:2.3:a:vercel:next.js::::::node.js::*	`16.0.0`	`16.0.10`
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:-::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary0::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary1::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary10::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary11::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary12::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary13::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary14::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary15::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary16::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary17::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary18::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary19::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary2::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary20::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary21::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary22::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary23::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary24::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary25::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary26::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary27::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary28::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary29::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary3::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary30::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary31::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary32::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary33::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary34::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary35::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary36::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary37::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary38::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary39::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary4::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary40::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary41::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary42::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary43::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary44::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary45::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary46::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary47::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary48::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary49::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary5::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary50::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary51::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary52::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary53::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary54::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary55::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary56::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary57::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary58::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary59::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary6::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary7::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary8::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:15.6.0:canary9::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:-::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary0::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary1::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary10::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary11::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary12::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary13::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary14::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary15::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary16::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary17::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary18::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary2::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary3::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary4::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary5::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary6::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary7::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary8::::node.js::*	—	—
Vercel Next.Js cpe:2.3:a:vercel:next.js:16.1.0:canary9::::node.js::*	—	—