Happy patch your React Server Components again Friday to all who celebrate. The patch for CVE-2025-55184 was incomplete and still leaves systems vulnerable to DoS.

https://www.facebook.com/security/advisories/cve-2025-67779

It was found that the fix addressing CVE-2025-55184 in React Server Components was incomplete and does not prevent a denial of service attack in a specific case. React Server Components versions 19.0.2, 19.1.3 and 19.2.2 are affected, allowing unsafe deserialization of payloads from HTTP requests to Server Function endpoints. This can cause an infinite loop that hangs the server process and may prevent future HTTP requests from being served.

React Server: Nuovi bug critici portano a DoS e alla divulgazione del codice sorgente

La saga sulla sicurezza dei componenti di React Server continua questa settimana.

Successivamente alla correzione di una vulnerabilità critica relativa all’esecuzione di codice remoto (RCE) che ha portato a React2shell, sono state individuate dai ricercatori due nuove vulnerabilità. Queste ultime, pur essendo meno gravi delle precedenti, comportano rischi significativi, tra cui la possibilità di attacchi Denial of Service (DoS) che possono causare il crash del server e l’esposizione di codice sorgente sensibile.

Le versioni interessate includono la versione da 19.0.0 a 19.0.2, la versione da 19.1.0 a 19.1.2 e la versione da 19.2.0 a 19.2.2. Si consiglia pertanto agli sviluppatori di aggiornare alle versioni corrette appena rilasciate:

• 19.0.3
• 19.1.4
• 19.2.3

Fondamentalmente, queste vulnerabilità hanno un ampio raggio d’azione.

Basta che l’applicazione sia vulnerabile a certe funzioni del server per essere esposta a potenziali rischi, senza doverle necessariamente utilizzare. “Anche se la tua app non implementa alcun endpoint di React Server Function, potrebbe comunque essere vulnerabile se supporta i React Server Components”, avverteono i ricercatori di sicurezza.

Il problema più urgente, ha una severity CVSS di 7.5, e riguarda una vulnerabilità che può mettere in ginocchio un server. Identificata come CVE-2025-55184 e CVE-2025-67779, questa falla consente a un aggressore di innescare un loop infinito sul server inviando una specifica richiesta HTTP dannosa. Secondo l’avviso, il loop consuma la CPU del server, bloccandone di fatto le risorse.

La seconda vulnerabilità, il CVE-2025-55183 ha una severity CVSS 5.3, è un problema di gravità media che colpisce la riservatezza del codice dell’applicazione. E’ stato rilevato che in specifiche circostanze, una richiesta nociva è in grado di convincere una funzione del server a fornire all’attaccante il proprio codice sorgente. Secondo quanto riportato nell’avviso, un esperto di sicurezza ha riscontrato che l’invio di una richiesta HTTP dannosa a una funzione del server suscettibile di vulnerabilità potrebbe comportare la restituzione non sicura del codice sorgente di qualsiasi funzione del server.

Per eseguire l’attacco, è necessario un particolare modello di codifica, nel quale una funzione lato server esplicitamente o implicitamente espone un parametro come stringa. Qualora venisse sfruttata, potrebbe portare alla scoperta di informazioni cruciali a livello logico o di chiavi del database internamente allegate al codice della funzione.

Il team di React ha confermato esplicitamente che questi nuovi bug non riapriranno la porta al controllo totale del server. “Queste nuove vulnerabilità non consentono l’esecuzione di codice remoto. La patch per React2Shell rimane efficace nel mitigare l’exploit di esecuzione di codice remoto”.

Il team esorta a procedere con urgenza all’aggiornamento, dato che le vulnerabilità scoperte di recente sono di notevole gravità.

L'articolo React Server: Nuovi bug critici portano a DoS e alla divulgazione del codice sorgente proviene da Red Hot Cyber.

Remote server execution, denial of service vulnerability, and source code leak, whoever works on React Server Components isn't having a great time.

If you haven't already: upgrade asap.

https://www.cve.org/CVERecord?id=CVE-2025-55182
https://www.cve.org/CVERecord?id=CVE-2025-67779
https://www.cve.org/CVERecord?id=CVE-2025-55183

BoF in glib.

https://access.redhat.com/security/cve/CVE-2025-14512

A flaw was found in glib. This vulnerability allows a heap buffer overflow and denial-of-service (DoS) via an integer overflow in GLib's GIO (GLib Input/Output) escape_byte_string() function when processing malicious file or remote filesystem attribute values.

Tenda

https://www.cve.org/CVERecord?id=CVE-2025-14526

cc: @Dio9sys @da_667

#internetOfShit

Post-auth ../ in cPanel.

https://www.cve.org/CVERecord?id=CVE-2025-66429

Google seals critical Chrome flaw (CVE-2025-9478) under attack: "use-after-free" bug in WebGL lets hackers run code via rigged pages. Update to v139.0.7258.154+ NOW! 🔒💻 https://www.heise.de/en/news/Chrome-update-closes-attacked-security-vulnerability-11111225.html #ChromeUpdate #CyberSecurity
#Newz

D-Link

https://www.cve.org/CVERecord?id=CVE-2025-14528

cc: @Dio9sys @da_667

#internetOfShit

New BYOVD loader behind DeadLock ransomware attack
https://blog.talosintelligence.com/byovd-loader-deadlock-ransomware/

While tracking ransomware activities, Cisco Talos uncovered new tactics,
techniques, and procedures (TTPs) linked to a financially motivated threat
actor targeting victims with DeadLock ransomware.

The actor used the Bring Your Own Vulnerable Driver (BYOVD) technique with a
previously unknown loader to exploit the Baidu Antivirus driver vulnerability
(CVE-2024-51324), enabling the termination of endpoint detection and response
(EDR) processes.

The actor ran a PowerShell script that bypasses User Account Control (UAC),
disables Windows Defender, terminates various security, backup, and database
services, and deletes all volume shadow copies to prevent system recovery.

This custom encryption method allows DeadLock ransomware to effectively
encrypt different file types in enterprise environments while preventing
system corruption through selective targeting and anti-forensics techniques,
which complicate recovery.

🚨 CVE-2025-67731 (HIGH, CVSS 8.7): Aarondoran servify-express <1.2 lets attackers send huge JSON bodies, causing DoS. Fix: upgrade to 1.2+, set parser size limits, or use reverse proxy controls. Details: https://radar.offseq.com/threat/cve-2025-67731-cwe-400-uncontrolled-resource-consu-02a51622 #OffSeq #NodeJS #DoS #SecAlerts