Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2025-66478
Vulnerabilidad CVE-2025-66478
Publicado: 24/4/2026
¿Qué es la vulnerabilidad CVE-2025-66478?
CVE-2025-66478 es una vulnerabilidad crítica de ejecución remota de código (RCE) no autenticada.
RCE (ejecución remota de código): Permite a un atacante ejecutar código arbitrario en el servidor objetivo.
No autenticada: No se requiere autorización ni inicio de sesión previos para explotar la falla.
Causa raíz: Deserialización insegura.
Identificada como una falla de seguridad crítica, permite a los atacantes comprometer objetivos de alto valor, robar datos sensibles o establecer persistencia para actividades maliciosas adicionales.
¿Cuándo se descubrió?
CVE-2025-66478 se dio a conocer públicamente por primera vez el 3 de diciembre de 2025, tras ser reportada por Wiz Research (específicamente Gili Tikochinski, Merav Bar y Danielle Aminov).
Productos afectados y versiones corregidas
La vulnerabilidad reside en el paquete react-server y en su implementación del protocolo "Flight" de React Server Components (RSC). Las configuraciones predeterminadas son vulnerables.
Producto afectado | Versiones vulnerables | Versiones corregidas (actualización recomendada) |
React | react-server-dom* (19.0.x, 19.1.x, 19.2.x) | 19.0.1, 19.1.2 y 19.2.1 |
Next.js (con App Router) | 14.3.0-canary, 15.x, 16.x | 14.3.0-canary.88, 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7 |
Otros frameworks/bibliotecas potencialmente afectados que incluyen la implementación de react-server:
Plugin Vite RSC
Plugin Parcel RSC
Vista previa de React Router RSC
RedwoodSDK
Waku
Descripción técnica de CVE-2025-66478
La vulnerabilidad (rastreada inicialmente tanto como CVE-2025-55182 en React como CVE-2025-66478 en Next.js, siendo esta última un duplicado) es una vulnerabilidad lógica de deserialización dentro del protocolo "Flight" de React Server Components (RSC).
La falla ocurre cuando el servidor procesa payloads de RSC:
El servidor no valida de forma segura la estructura de un payload entrante.
Un atacante envía un payload malformado especialmente diseñado.
La lógica de deserialización insegura permite que los datos controlados por el atacante influyan en la lógica de ejecución del servidor.
Esto finalmente resulta en la ejecución de código JavaScript privilegiado en el servidor, lo que lleva a RCE.
TTPs (tácticas, técnicas y procedimientos)
Táctica: Ejecución (obtener acceso remoto y ejecutar código).
Técnica:T1190 (Explotación de aplicación expuesta al público) y T1498 (Deserialización insegura).
Procedimiento: El ataque solo requiere una única solicitud HTTP especialmente diseñada al servidor objetivo, lo que lo hace extremadamente simple y muy confiable (tasa de éxito cercana al 100% en pruebas). El ataque no requiere autenticación y apunta a aplicaciones que usan React Server Components, especialmente las construidas sobre frameworks como Next.js expuestas públicamente.
IoC (indicadores de compromiso)
Se ha observado explotación activa por parte de equipos de seguridad (incluyendo Wiz Research, Amazon Threat Intelligence y Datadog), lo que indica un uso activo.
Sin embargo, los IoC tradicionales específicos como hashes de archivos, firmas de tráfico de red o dominios de comando y control (C2) no se han determinado. Las organizaciones deben monitorear actividad posterior a la explotación, procesos sospechosos o conexiones de red que se originen en sus servidores de aplicación vulnerables.
Pruebas de concepto (PoC) conocidas
Wiz Research desarrolló una prueba de concepto (PoC) de ejecución remota de código totalmente funcional con una confiabilidad cercana al 100%, aunque inicialmente ocultaron los detalles para proteger el ecosistema.
ACTUALIZACIÓN: El artículo señala que ya existen exploits públicos de ejecución remota de código , lo que significa que la técnica de explotación es ampliamente conocida y accesible para los atacantes.
Cómo detectar y mitigar la vulnerabilidad
La acción más crítica y definitiva es aplicar el parche del software afectado de inmediato.
Mitigación (aplicación de parches)
Actualiza React y las dependencias: Actualiza tu paquete react-server-dom* y otras dependencias a las versiones reforzadas que figuran en la tabla anterior (por ejemplo, React a 19.0.1 o superior, Next.js a 15.0.5 o superior).
Otros frameworks: Para otros frameworks compatibles con RSC (Redwood, Waku, etc.), revisa sus canales oficiales para conocer las actualizaciones de la versión incluida de react-server y actualiza de inmediato.
Detección
Escaneo de vulnerabilidades: Usa escáneres de vulnerabilidades para verificar las dependencias de la aplicación contra la lista de versiones vulnerables (react-server-dom* 19.0.x/19.1.x/19.2.x y Next.js 14.x/15.x/16.x).
Impacto y riesgo de la vulnerabilidad CVE-2025-66478
El impacto técnico y comercial de CVE-2025-66478 es grave. Su explotación podría provocar el compromiso del servidor, exponer datos sensibles o permitir a los atacantes desplegar ransomware. La integridad y la disponibilidad también están en riesgo, ya que los atacantes podrían interrumpir servicios o manipular operaciones críticas.
Estrategias de mitigación y remediación
Las organizaciones deben aplicar de inmediato el parche proporcionado por el proveedor y proteger todos los endpoints deshabilitando funciones de API que no se usen. Además, implementa una validación estricta de entradas, despliega firewalls de aplicaciones web (WAF) y habilita la autenticación multifactor (MFA) para reducir la posibilidad de explotación.
Preguntas frecuentes sobre la vulnerabilidad CVE-2025-66478
CVE-2025-66478 es una vulnerabilidad de ejecución remota de código causada por una validación de entradas incorrecta. Permite a los atacantes enviar payloads maliciosos a endpoints de API vulnerables, lo que posibilita la ejecución arbitraria de código.
Los atacantes explotan esta vulnerabilidad enviando solicitudes HTTP diseñadas a servidores web afectados. Una vez ejecutado, el payload puede comprometer el sistema, instalar puertas traseras o robar datos sensibles.
Sí, aunque se han lanzado parches, muchas organizaciones retrasan las actualizaciones, dejando los sistemas expuestos a una explotación activa. El monitoreo y la aplicación oportuna de parches siguen siendo defensas fundamentales.
Las organizaciones deben aplicar los parches de inmediato, usar firewalls de aplicaciones web (WAF) y monitorear actividad inusual en los endpoints afectados. También se recomiendan defensas proactivas como pruebas de penetración regulares.
