Atualizado em 11 de dezembro de 2025
Duas novas CVEs, CVE-2025-55183 e CVE-2025-55184 foram anunciadas para o React e para o Next.js. A F5 lançou atualizações do WAF para proteger contra a exploração dessas vulnerabilidades. Ainda assim, todos os aplicativos que usam React ou Next.js devem ser atualizados para a versão mais recente o quanto antes.
Uma nova vulnerabilidade de segurança identificada como CVE-2025-55182 foi descoberta no React, com uma pontuação CVSS de 10,0, e pode expor aplicações que usam essa popular biblioteca JavaScript a possíveis ataques cibernéticos por meio da execução remota de código (RCE).
Desenvolvedores e organizações que utilizam React em suas aplicações devem avaliar imediatamente seus sistemas, pois a exploração dessa vulnerabilidade pode comprometer os sistemas afetados.
Versões afetadas
Sabe-se que a CVE afeta as seguintes versões do React:
- 19.0.0, 19.1.0, 19.1.1 e 19.2.0
Qualquer sistema ou aplicativo que dependa dessas versões do React é considerado vulnerável e deve ser atualizado imediatamente. Mais informações estão disponíveis na página pública de notificação da equipe do React.
Sabe-se que a CVE afeta as seguintes versões do Next.js:
- Next.js 15.x, Next.js 16.x, Next.js 14.3.0-canary.77 e versões canary posteriores
Observe que as versões vulneráveis do Next.js apresentam essa vulnerabilidade porque dependem das versões do React mencionadas acima. A vulnerabilidade no Next.js também pode ser identificada como CVE-2025-66478, que foi rejeitada por ser uma duplicata, pois a vulnerabilidade subjacente se deve à CVE-2025-55182 no React. Qualquer sistema ou aplicativo que dependa dessas versões do Next.js é considerado vulnerável e deve ser atualizado imediatamente. Mais informações estão disponíveis na página pública de notificação da equipe do Next.js.
Proteções aprimoradas com a F5
Além de atualizar para versões seguras do React e do Next.js, se você for cliente da F5, foram disponibilizadas assinaturas aprimoradas do Web Application Firewall (WAF) para detectar e bloquear tentativas de exploração da CVE-2025-55182. Essas assinaturas fornecem uma camada adicional de defesa contra vetores de ataque conhecidos direcionados a aplicações React e Next.js.
Assinaturas do F5 BIG-IP Advanced WAF / ASM, F5 WAF for NGINX e F5 NGINX App Protect WAF
Se você estiver usando o F5 BIG-IP Advanced WAF ou o módulo F5 BIG-IP Application Security Manager (ASM), o F5 WAF for NGINX ou o F5 NGINX App Protect WAF para proteger os membros do pool de back-end, poderá mitigar essa vulnerabilidade para esses membros usando as seguintes assinaturas de ataque habilitadas no modo de bloqueio:
- RCE em React Server Components, ID 200204048
- Execução remota de código no RSC do Next.js, ID 200204050
- Negação de serviço no Next.js, ID 200012097
- Exposição de código de função de servidor do Next.js, ID 200009348
Esta assinatura de ataque faz parte da atualização de assinaturas de ataque recém-lançada ASM-AttackSignatures_ 20251211_163605.im; você deve atualizar o arquivo de assinaturas para ASM-AttackSignatures_ 20251211_163605.im ou uma versão posterior para que essa assinatura esteja disponível em seu sistema.
Assinaturas do F5 Distributed Cloud WAF
As novas assinaturas 200204048, 200204050, 200012097 e 200009348 foram disponibilizadas em todas as bordas regionais (RE) no Distributed Cloud. Para usar essa proteção, certifique-se de que as assinaturas de alta e média precisão estejam habilitadas no modo de bloqueio em suas políticas de WAF do Distributed Cloud.
Manter suas proteções da F5 atualizadas é fundamental
Os invasores estão buscando ativamente explorar essas CVEs, e a F5 está monitorando a situação de perto para identificar quaisquer novas formas de exploração não contempladas pelos vetores conhecidos. Manter suas proteções da F5 atualizadas é fundamental para se antecipar aos invasores. Novas assinaturas e atualizações poderão ser lançadas, se necessário, para continuar protegendo contra essas ameaças em constante evolução. Para obter mais informações sobre atualizações de assinaturas, siga as orientações fornecidas no artigo K000158058 da Base de Conhecimento da F5, no artigo K000158154 da Base de Conhecimento da F5, no artigo K000158155 da Base de Conhecimento da F5 e na documentação da F5 Cloud sobre assinaturas de ataque.
Sobre o autor
Publicações relacionadas no blog
Segurança de APIs sem concessões: apresentamos novas opções flexíveis de descoberta com F5 API security
As opções ampliadas de descoberta de APIs da F5 foram desenvolvidas para oferecer o máximo de flexibilidade e atender às organizações onde quer que estejam.
Governe sua IA no presente e antecipe o futuro da sua IA
Aprenda com nosso CISO de campo, Chuck Herrin, como se preparar para o novo desafio de proteger modelos e agentes de IA.
Segurança de IA para a cadeia de suprimentos
As cadeias de suprimentos são cada vez mais impulsionadas pela IA — desde a previsão de demanda e o planejamento logístico até a análise de riscos de fornecedores e a gestão de estoque em tempo real. Essas ferramentas ajudam as empresas a reduzir custos, aumentar a resiliência e se adaptar a disrupções globais. No entanto, elas também criam novos riscos em um vasto ecossistema: nossas soluções de segurança de IA em tempo de execução protegem o setor de Cadeia de Suprimentos […]
Segurança de IA para Recursos Humanos
A IA está revolucionando o RH. As empresas estão implementando copilotos de recrutamento com IA, assistentes de integração, chatbots de suporte aos funcionários e ferramentas de análise da força de trabalho para reduzir custos e melhorar a experiência dos colaboradores. No entanto, as aplicações de RH também apresentam riscos específicos que podem expor as organizações a falhas de conformidade, alegações de viés e danos à reputação: nossas soluções de segurança de IA em tempo de execução protegem o setor de RH com […]
Equilibrando o desempenho da IA e a gestão de recursos
As organizações dependem cada vez mais de ferramentas e iniciativas de IA para impulsionar a inovação e a transformação. Cada avanço incremental na sofisticação das ferramentas de IA torna o equilíbrio entre desempenho e gestão de recursos um desafio maior e mais relevante para as equipes de TI e segurança. No entanto, esse equilíbrio é essencial para maximizar o ROI, garantir a segurança e manter a eficiência em toda a […]
Integração de APIs em IA: a base técnica
A integração de APIs é um canal essencial no ecossistema de IA, por meio do qual diferentes sistemas, plataformas e aplicações interagem. Analisamos as nuances técnicas da integração de APIs em IA, com ênfase em sua importância para aprimorar a eficiência e os recursos dos sistemas de IA. As APIs permitem a troca fluida de dados e funcionalidades entre diferentes soluções de IA […]