React / Next.js RCE 취약점(CVE-2025-55182) 영향 판단과 패치

배경

React 19 / Next.js 환경에서 “React2Shell(CVE-2025-55182)“로 불리는 치명적인 RCE 취약점이 보고되어 긴급 점검과 패치를 요청받았다. 공유된 내용은 다음과 같다.

• React Server Components(RSC)나 Server Actions처럼 서버 사이드에서 React 19를 쓰는 서비스에 영향을 주는 RCE 취약점이며, 이미 실제 공격에 악용되고 있다.
• 영향받는 버전은 React 19.0, 19.1.0, 19.1.1, 19.2.0이다. 19.0.1, 19.1.2, 19.2.1 등 패치 버전으로 즉시 업데이트해야 한다.

점검 대상은 다음 두 경우다.

• React 19 + RSC/Server Actions(react-server-dom-*)를 쓰고 서버 사이드에서 실행되는 서비스
• Next.js App Router + React 19 조합으로 동작하는 서비스

점검 방법

• 운영 중인 프로젝트 중 React나 Next.js를 쓰는 곳이 있는지 확인하고, 쓰는 프레임워크 버전이 취약하면 업데이트한다.
• 외부에서 접근 가능한 자산은 함께 배포된 스캐너 스크립트로 직접 스캔한다. 단일 타깃, 파일 기반 다중 타깃, 쉼표 구분 다중 스캔, 결과 조회, CSV 저장을 지원한다.
• 로컬에서는 npm audit을 실행했을 때 Next.js가 React flight protocol RCE 취약점 경고를 출력하면 취약한 상태이므로 즉시 업데이트한다.

영향 판단

점검한 프로젝트는 모두 Vite 기반의 클라이언트 사이드 React 애플리케이션이었다.

• React Server Components를 사용하지 않는다.
• Next.js나 react-server-dom-* 패키지를 사용하지 않는다.

따라서 직접적인 영향은 없다고 판단했다. 다만 예방 차원에서 React와 react-dom을 패치 버전으로 올리고, 같이 드러난 다른 의존성 취약점도 정리했다.

조치

프론트엔드 (npm)

React 라이브러리:

패키지	기존 버전	업데이트 버전	비고
react	19.1.0 / 19.1.1	19.1.2	CVE-2025-55182 패치 버전
react-dom	19.1.0 / 19.1.1	19.1.2	CVE-2025-55182 패치 버전

기타 보안 취약점은 npm audit fix로 자동 수정했다.

패키지	취약 버전 범위	심각도	취약점 설명
glob	10.2.0-10.4.5	High	Command injection via -c/–cmd
js-yaml	4.0.0-4.1.0	Moderate	Prototype pollution in merge (<<)
vite	7.1.0-7.1.10	Moderate	파일 서빙 관련 보안 이슈 (3건)
tar-fs	2.0.0-2.1.3	-	수정 버전으로 업데이트
pm2	≤6.0.8	-	6.0.14로 업데이트

백엔드 (Python)

패키지	기존 버전	업데이트 버전	CVE ID
urllib3	2.5.0	2.6.0	CVE-2025-66418, CVE-2025-66471
Werkzeug	3.1.3	3.1.4	CVE-2025-66221