forum.opennet.ru - "Уязвимость в серверных компонентах React, позволяющая выполнить код на сервере" (47)

"Уязвимость в серверных компонентах React, позволяющая выполнить код на сервере"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в серверных компонентах React, позволяющая выполнить код на сервере"	+/–
Сообщение от opennews (?), 04-Дек-25, 11:50
В серверных компонентах web-фреймворка React (RSC, React Server Components) устранена уязвимость (CVE-2025-55182), позволявшая через отправку запроса к серверному обработчику выполнить произвольный код на сервере. Уязвимости присвоен критический уровень опасности (10 из 10). Уязвимость проявляется в экспериментальных компонентах react-server-dom-webpack,... Подробнее: https://www.opennet.me/opennews/art.shtml?num=64373
Ответить \| Правка \| Cообщить модератору

Оглавление

PHP-дыряв Кричали они PHP-неактуален Вторили им, другие А вот нода, питоны и , Мохнонос (?), 11:50 , 04-Дек-25, (1) +3

От этой новости ПЫХа менее дырявой не стала Тут теорема г-на Эскобара во всей кр, Аноним (-), 11:55 , 04-Дек-25, (2) +12

Нода на плюсах написана Не путай с реактом, о котором речь в новости , Аноним (27), 14:40 , 04-Дек-25, (27) +2

У плюсов и js синтаксис сишный так что разница не аж до луны, Самый Лучший Гусь (?), 16:07 , 04-Дек-25, (38) –4

в php подобные штуки были из коробки allow_url_include и т п , а тут люди спец, Аноним (8), 12:25 , 04-Дек-25, (8) +7
Вот вам про ваш любимый компостер Читайте, наслаждайтесь https www cve org CVE, Аноним (14), 13:28 , 04-Дек-25, (14) +1
Кстати, на опеннете нет новостей про CVE про компостер или перловый CPAN Только, Аноним (14), 13:30 , 04-Дек-25, (16) +1
Питоны новомодное Python, пожалуй, постарше Пыха будет , Аноним (20), 13:59 , 04-Дек-25, (20)
не-не-не, я не говорил, я говорил, что нода такое же убожество, как сам JS, в ча, penetrator (?), 14:01 , 04-Дек-25, (21)

А ведь когда в nginx была дырень, то все кричали это экспериментальная фича, ни, Аноним (-), 11:56 , 04-Дек-25, (3)
странно, вроде бы серьёзный язык для адекватныx взрослыx теxнарей, 12yoexpert (ok), 11:58 , 04-Дек-25, (5) –2

Этот язык - альма матер всех сеньоров-растокодеров, Аноним (6), 12:06 , 04-Дек-25, (6) +1
Ээээээ а конкретно тут язык - при чем , User (??), 14:38 , 04-Дек-25, (26)

язык отличный, не зря ведь 95 им пользуются, 12yoexpert (ok), 15:27 , 04-Дек-25, (33)
Отличный ответ Надо взять на вооружение против растсеров, которые катят бочку н, Аноним (43), 19:14 , 04-Дек-25, (43)

В случае с логическими ошибками Берите конечно же , User (??), 20:00 , 04-Дек-25, (44)

Серьёзный язык Это ты про js Хорошая шутка Язык гoвнокодеров Некоторые сайт, th3m3 (ok), 14:46 , 04-Дек-25, (28) +3

Сайты тормозят по разным причинам фингерпринт какой-нибудь, аналитика, ну или м, Аноним (14), 15:30 , 04-Дек-25, (35) –1

В котором можно перетирать проверку свойств Ну-ну , Кошкажена (?), 21:58 , 04-Дек-25, (49)

не понимаю как реакт позволит выполнить код на сервере, если на сервере spring, , Анонисссм (?), 12:24 , 04-Дек-25, (7) –3

Можно просто прочесть статью и там все будет понятно расписано, Аноним (11), 12:42 , 04-Дек-25, (11) +3
Реакт умеет SSR , Аноним (14), 13:38 , 04-Дек-25, (18)

В конце нулевых году похожая, практически идентичная уязвимость в xml-rpc обошла, Аноним (9), 12:33 , 04-Дек-25, (9)
Вот прогресс Просто закидываешь комманды на сервер и получаешь ответ RPC некур, Аноним (10), 12:37 , 04-Дек-25, (10)
Хотел понять, чем вызвана уязвимость, перешёл по ссылке на пулл-реквест с исправ, Аноним (12), 13:10 , 04-Дек-25, (12)

О Кто-то прошёл по ссылкам, разобрался в теме и добавил в новость ответ на мой , Аноним (12), 13:27 , 04-Дек-25, (13)
Вообще это нормальная практика, если все изменения по делу А чтобы это понять, , Кошкажена (?), 15:12 , 04-Дек-25, (30)

А, ну тогда ладно Напишу Торвальдсу на почту, чтоб не заморачивался и перед рел, Аноним (12), 15:30 , 04-Дек-25, (34)

Какая тyпая аналогия _-Тут весь код относящийся к одному фиксу превратили в оди, Аноним (-), 15:38 , 04-Дек-25, (37)

Те, кто этот коммит делали, считают по-другому Вы тоже видите это also во втор, Аноним (12), 17:54 , 04-Дек-25, (42)

лол это всё что они за день накрутивертили - запушили, перед начальством отчита, Аноним (46), 20:11 , 04-Дек-25, (46)

Просто поиском по странице ищешь hasOwnProperty и там будет 3 файла исправлено п, Сосиска (?), 16:54 , 04-Дек-25, (40)

а я тебе скажу откуда это пока в локалке от руки черновик быстренько накидываеш, Аноним (46), 20:22 , 04-Дек-25, (47)

Нечего не понял Реакт это же какая-то там javascript библиотека для добавления , Аноним (15), 13:28 , 04-Дек-25, (15)

Так-то реакт разворачивается на сервере В проде это нгинкс, в деве - нода JS о, Аноним (14), 13:37 , 04-Дек-25, (17) +1

ЖС отличный язык, сам по себе Но вот область применения у него так себе , Аноним (15), 14:05 , 04-Дек-25, (22) –3

Да нет, это ужаснейший отвратительный язык У него performance хороший спасибо , Витюшка (?), 14:12 , 04-Дек-25, (23) +2

экосистема отличная, раз в неделю бедные копипастеры и председатели госсайтов по, 12yoexpert (ok), 14:30 , 04-Дек-25, (25)

Вопросы к этому подходу стандартные 1 Как 2 На пуркуа рендерить куски страницы, Аноним (41), 17:31 , 04-Дек-25, (41)

Эксперименты, сэр , Аноним (32), 15:24 , 04-Дек-25, (32)

Deno в очередной раз показал своё превосходство над другими JS рантаймами, morphe (?), 15:05 , 04-Дек-25, (29) +2

Но Deno мало где используется, в РФ вакансий вообще на него нет , Аноним (14), 15:32 , 04-Дек-25, (36)

Потому что искать JS Node разработчиков проще, а переучивать их почти и не надо , morphe (?), 16:33 , 04-Дек-25, (39)

А он тут причем , Кошкажена (?), 21:59 , 04-Дек-25, (50) –1

В нём дропнули сеттер __proto__ Остался только синтаксис __proto__ при инициали, morphe (?), 23:56 , 04-Дек-25, (52)

Могли бы и без него обойтись Если JS используешь - то зачем полумеры, скот вооб, Аноним (48), 20:46 , 04-Дек-25, (48)
Эксплойт не настоящий, чел навайбкодил 128169 , и теперь ему пишут в issues до, Аноним (51), 23:16 , 04-Дек-25, (51)

Сообщения [Сортировка по времени | RSS]

1. "Уязвимость в серверных компонентах React, позволяющая выполн..." +3 +/–

Сообщение от Мохнонос (?), 04-Дек-25, 11:50

PHP-дыряв! Кричали они.
PHP-неактуален! Вторили им, другие.
А вот нода, питоны и прочее новомодное - единственное правильное решение! Хором заявили они же, совместно.

Ответить | Правка | Наверх | Cообщить модератору

2. "Уязвимость в серверных компонентах React, позволяющая выполн..." +12 +/–

Сообщение от Аноним (-), 04-Дек-25, 11:55

От этой новости ПЫХа менее дырявой не стала)
Тут теорема г-на Эскобара во всей красе.
> питоны и прочее новомодное
Причем тут питон, если нода на JS написана??
Но тебя никто не заставляет им пользоваться.
Можешь обмазываться ̶о̶в̶н̶о̶ ПХПой.

Ответить | Правка | Наверх | Cообщить модератору

27. "Уязвимость в серверных компонентах React, позволяющая выполн..." +2 +/–

Сообщение от Аноним (27), 04-Дек-25, 14:40

Нода на плюсах написана. Не путай с реактом, о котором речь в новости.

Ответить | Правка | Наверх | Cообщить модератору

38. "Уязвимость в серверных компонентах React, позволяющая выполн..." –4 +/–

Сообщение от Самый Лучший Гусь (?), 04-Дек-25, 16:07

У плюсов и js синтаксис сишный так что разница не аж до луны

Ответить | Правка | Наверх | Cообщить модератору

8. "Уязвимость в серверных компонентах React, позволяющая выполн..." +7 +/–

Сообщение от Аноним (8), 04-Дек-25, 12:25

в php подобные штуки были из коробки (allow_url_include и т.п.), а тут люди специально постарались, чтобы такое же сделать
гении, чо

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

14. "Уязвимость в серверных компонентах React, позволяющая выполн..." +1 +/–

Сообщение от Аноним (14), 04-Дек-25, 13:28

Вот вам про ваш любимый компостер.
Читайте, наслаждайтесь.
https://www.cve.org/CVERecord/SearchResults?query=composer

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

16. "Уязвимость в серверных компонентах React, позволяющая выполн..." +1 +/–

Сообщение от Аноним (14), 04-Дек-25, 13:30

Кстати, на опеннете нет новостей про CVE про компостер или перловый CPAN. Только про NPM пишут. Хотя в компостере очень много CVE.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

20. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (20), 04-Дек-25, 13:59

Питоны новомодное? Python, пожалуй, постарше Пыха будет.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

21. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от penetrator (?), 04-Дек-25, 14:01

не-не-не, я не говорил, я говорил, что нода такое же убожество, как сам JS, в частности в новости про Bun писиал про ненужное, но всё потерли

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

3. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (-), 04-Дек-25, 11:56

> Уязвимость проявляется в экспериментальных компонентах
А ведь когда в nginx была дырень, то все кричали "это экспериментальная фича, ничего страшного".
А тут такая трагедия.

Ответить | Правка | Наверх | Cообщить модератору

5. "Уязвимость в серверных компонентах React, позволяющая выполн..." –2 +/–

Сообщение от 12yoexpert (ok), 04-Дек-25, 11:58

странно, вроде бы серьёзный язык для адекватныx взрослыx теxнарей

Ответить | Правка | Наверх | Cообщить модератору

6. "Уязвимость в серверных компонентах React, позволяющая выполн..." +1 +/–

Сообщение от Аноним (6), 04-Дек-25, 12:06

Этот язык - альма матер всех сеньоров-растокодеров

Ответить | Правка | Наверх | Cообщить модератору

26. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от User (??), 04-Дек-25, 14:38

Ээээээ... а конкретно тут язык - при чем?

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

33. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от 12yoexpert (ok), 04-Дек-25, 15:27

язык отличный, не зря ведь 95% им пользуются

Ответить | Правка | Наверх | Cообщить модератору

43. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (43), 04-Дек-25, 19:14

> а конкретно тут язык - при чем?
Отличный ответ! Надо взять на вооружение против растсеров, которые катят бочку на Си.

Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

44. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от User (??), 04-Дек-25, 20:00

>> а конкретно тут язык - при чем?
> Отличный ответ! Надо взять на вооружение против растсеров, которые катят бочку на
> Си.
В случае с логическими ошибками? Берите конечно же.

Ответить | Правка | Наверх | Cообщить модератору

28. "Уязвимость в серверных компонентах React, позволяющая выполн..." +3 +/–

Сообщение от th3m3 (ok), 04-Дек-25, 14:46

Серьёзный язык? Это ты про js? Хорошая шутка)) Язык гoвнокодеров. Некоторые сайты уже больше гига в памяти занимают и тормозят даже на мощном железе. Вот ради чего?

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

35. "Уязвимость в серверных компонентах React, позволяющая выполн..." –1 +/–

Сообщение от Аноним (14), 04-Дек-25, 15:30

Сайты тормозят по разным причинам: фингерпринт какой-нибудь, аналитика, ну или мэйнеры на помойных сайтах. И JS там ни при чём по сути. Смешно представить серьёзный язык. Это надо будет выковыривать уточки памяти на сайтиках на плюсах или на сишке (серьёзные язычки, лол).

Ответить | Правка | Наверх | Cообщить модератору

49. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Кошкажена (?), 04-Дек-25, 21:58

> вроде бы серьёзный язык для адекватныx взрослыx теxнарей
В котором можно перетирать проверку свойств? Ну-ну.

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

7. "Уязвимость в серверных компонентах React, позволяющая выполн..." –3 +/–

Сообщение от Анонисссм (?), 04-Дек-25, 12:24

не понимаю как реакт позволит выполнить код на сервере, если на сервере spring, а реакт у клиента )

Ответить | Правка | Наверх | Cообщить модератору

11. "Уязвимость в серверных компонентах React, позволяющая выполн..." +3 +/–

Сообщение от Аноним (11), 04-Дек-25, 12:42

Можно просто прочесть статью и там все будет понятно расписано

Ответить | Правка | Наверх | Cообщить модератору

18. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (14), 04-Дек-25, 13:38

Реакт умеет SSR.

Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

9. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (9), 04-Дек-25, 12:33

В конце нулевых году похожая, практически идентичная уязвимость в xml-rpc обошлась одному финансовому сервису в полмиллиона долларов, которые увели суммарно со всех электронных кошельков.
Прошло почти 20 лет, и вот оно снова. Ждём интересных взломов.

Ответить | Правка | Наверх | Cообщить модератору

10. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (10), 04-Дек-25, 12:37

Вот прогресс! Просто закидываешь комманды на сервер и получаешь ответ! RPC некурильщика!

Ответить | Правка | Наверх | Cообщить модератору

12. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (12), 04-Дек-25, 13:10

Хотел понять, чем вызвана уязвимость, перешёл по ссылке на пулл-реквест с исправлением из новости https://github.com/facebook/react/pull/35277 .
Итого: 1 коммит, 270 строк удалено, 710 строк добавлено. Какой-то рефакторинг, какие-то функциональные изменения. Они там перед релизом все изменения в один коммит сквошат? Этакий опенсорз от фейсбука, чтоб было не очевидно есть в коде проблемы или нет (что собственно и привело к таким уязвимостям)? Спасибо хоть не обфусцировали, хотя уже и неважно.
В общем, не настолько мне интересно, где конкретно они накосячили, чтоб в их испражнениях ковыряться. Буду думать, что просто миллион обезьян посадили за компьютер, а когда оно перестало выдавать синтаксические ошибки, закоммитили в релиз.

Ответить | Правка | Наверх | Cообщить модератору

13. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (12), 04-Дек-25, 13:27

О! Кто-то прошёл по ссылкам, разобрался в теме и добавил в новость ответ на мой вопрос.
Спасибо тебе, Человечище!

Ответить | Правка | Наверх | Cообщить модератору

30. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Кошкажена (?), 04-Дек-25, 15:12

> Они там перед релизом все изменения в один коммит сквошат?
Вообще это нормальная практика, если все изменения по делу. А чтобы это понять, то нужно проекта знать.

Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

34. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (12), 04-Дек-25, 15:30

> Вообще это нормальная практика
А, ну тогда ладно. Напишу Торвальдсу на почту, чтоб не заморачивался и перед релизом ядра все коммиты сквошил в один.

Ответить | Правка | Наверх | Cообщить модератору

37. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (-), 04-Дек-25, 15:38

> А, ну тогда ладно. Напишу Торвальдсу на почту, чтоб не заморачивался и
> перед релизом ядра все коммиты сквошил в один.
Какая тyпая аналогия /_-
Тут весь код относящийся к одному фиксу превратили в один коммит.
Атомарное изменение чтобы не писать
Fix issue
Fix issue (lost case)
и тд
Если тебе сильно не нравится - не делай так, но чего бухтеть?

Ответить | Правка | Наверх | Cообщить модератору

42. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (12), 04-Дек-25, 17:54

> Тут весь код относящийся к одному фиксу превратили в один коммит.
Те, кто этот коммит делали, считают по-другому:
> We did a number of refactors [...]
> This also fixes a critical security vulnerability.
Вы тоже видите это "also" во второй строке? И по коду я не вижу, чтобы упомянутое исправление с hasOwnProperties как-то коррелировало с другими изменениями.
> Если тебе сильно не нравится - не делай так
Я так и не делаю. Я делаю отдельный коммит с исправлением проблемы, а потом второй, с не относящиимся к уязвимости рефакторингом.
> чего бухтеть?
Чего бы и не побухтеть, если лидер рынка пишет один из самых популярных проектов на планете спустя рукава.

Ответить | Правка | Наверх | Cообщить модератору

46. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (46), 04-Дек-25, 20:11

лол. это всё что они за день накрутивертили - запушили, перед начальством отчитаться - иначе это просто один багфикс и рефактор, а так - проведена серьёзная работа с кодом, включая устранение опаснейшей уязвимости. короче, по банану и спать хддд

Ответить | Правка | Наверх | Cообщить модератору

40. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Сосиска (?), 04-Дек-25, 16:54

Просто поиском по странице ищешь hasOwnProperty и там будет 3 файла исправлено по делу. Вообще, у меня сложилось впечатление, что это излишнее паникёрство. Это тестовое или дев окружение. В противном случае, я не знаю, зачем клиенту давать вызвать на сервере функцию с произвольными данными.

Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

47. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (46), 04-Дек-25, 20:22

а я тебе скажу откуда это. пока в локалке от руки черновик быстренько накидываешь - не всегда вовремя соображаешь приписать туду заменить на безопасную функцию. творческим и неорганизованным посвящается.

Ответить | Правка | Наверх | Cообщить модератору

15. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (15), 04-Дек-25, 13:28

Нечего не понял. Реакт это же какая-то там javascript библиотека для добавления анимации на страницы, откуда там что-то на севере.

Ответить | Правка | Наверх | Cообщить модератору

17. "Уязвимость в серверных компонентах React, позволяющая выполн..." +1 +/–

Сообщение от Аноним (14), 04-Дек-25, 13:37

Так-то реакт разворачивается на сервере. В проде это нгинкс, в деве - нода. JS очень давно пользуется в бэкендах, вот то что нода не популярна для бэкенда в России и СНГ, это да. А вот на западе всякие стартапы пользуют обычно ноду. Кстати, только на ЛОРе и Опеннете такой хэйт JS, на западе не хэйтят JS.

Ответить | Правка | Наверх | Cообщить модератору

22. "Уязвимость в серверных компонентах React, позволяющая выполн..." –3 +/–

Сообщение от Аноним (15), 04-Дек-25, 14:05

ЖС отличный язык, сам по себе.
Но вот область применения у него так себе.

Ответить | Правка | Наверх | Cообщить модератору

23. "Уязвимость в серверных компонентах React, позволяющая выполн..." +2 +/–

Сообщение от Витюшка (?), 04-Дек-25, 14:12

Да нет, это ужаснейший отвратительный язык. У него performance хороший (спасибо браузерам) и хорошая экосистема (тулинг)

Ответить | Правка | Наверх | Cообщить модератору

25. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от 12yoexpert (ok), 04-Дек-25, 14:30

экосистема отличная, раз в неделю бедные копипастеры и председатели госсайтов поют ей оды

Ответить | Правка | Наверх | Cообщить модератору

41. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (41), 04-Дек-25, 17:31

Вопросы к этому подходу стандартные:
1. Как?
2. На пуркуа?
рендерить куски страницы на сервере и фетчем/XHR подтягивать клиенту? Или фронтэндеры настолько тупые, что не могут без JSX?

Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

32. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (32), 04-Дек-25, 15:24

Эксперименты, сэр.

Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

29. "Уязвимость в серверных компонентах React, позволяющая выполн..." +2 +/–

Сообщение от morphe (?), 04-Дек-25, 15:05

> не исключавшего подстановку прототипа
Deno в очередной раз показал своё превосходство над другими JS рантаймами

Ответить | Правка | Наверх | Cообщить модератору

36. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (14), 04-Дек-25, 15:32

Но Deno мало где используется, в РФ вакансий вообще на него нет.

Ответить | Правка | Наверх | Cообщить модератору

39. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от morphe (?), 04-Дек-25, 16:33

> Но Deno мало где используется, в РФ вакансий вообще на него нет.
Потому что искать JS/Node разработчиков проще, а переучивать их почти и не надо. Знаю минимум 3 компании где Deno применяется в проде.

Ответить | Правка | Наверх | Cообщить модератору

50. "Уязвимость в серверных компонентах React, позволяющая выполн..." –1 +/–

Сообщение от Кошкажена (?), 04-Дек-25, 21:59

А он тут причем?

Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

52. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от morphe (?), 04-Дек-25, 23:56

> А он тут причем?
В нём дропнули сеттер __proto__ (Остался только синтаксис __proto__ при инициализации объекта, ну и Reflect.setPrototypeOf) ради безопасности, он неуязвим к prototype pollution

Ответить | Правка | Наверх | Cообщить модератору

48. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (48), 04-Дек-25, 20:46

>next.js
Могли бы и без него обойтись. Если JS используешь - то зачем полумеры, скот вообще что угодно схавает.

Ответить | Правка | Наверх | Cообщить модератору

51. "Уязвимость в серверных компонентах React, позволяющая выполн..." +/–

Сообщение от Аноним (51), 04-Дек-25, 23:16

Эксплойт не настоящий, чел навайбкодил 💩, и теперь ему пишут в issues добрые слова

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+3 +/–
Сообщение от Мохнонос (?), 04-Дек-25, 11:50
PHP-дыряв! Кричали они. PHP-неактуален! Вторили им, другие. А вот нода, питоны и прочее новомодное - единственное правильное решение! Хором заявили они же, совместно.
Ответить \| Правка \| Наверх \| Cообщить модератору


	2. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+12 +/–
	Сообщение от Аноним (-), 04-Дек-25, 11:55
	От этой новости ПЫХа менее дырявой не стала) Тут теорема г-на Эскобара во всей красе. > питоны и прочее новомодное Причем тут питон, если нода на JS написана?? Но тебя никто не заставляет им пользоваться. Можешь обмазываться ̶о̶в̶н̶о̶ ПХПой.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	27. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+2 +/–
	Сообщение от Аноним (27), 04-Дек-25, 14:40
	Нода на плюсах написана. Не путай с реактом, о котором речь в новости.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	38. "Уязвимость в серверных компонентах React, позволяющая выполн..."	–4 +/–
	Сообщение от Самый Лучший Гусь (?), 04-Дек-25, 16:07
	У плюсов и js синтаксис сишный так что разница не аж до луны
	Ответить \| Правка \| Наверх \| Cообщить модератору


	8. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+7 +/–
	Сообщение от Аноним (8), 04-Дек-25, 12:25
	в php подобные штуки были из коробки (allow_url_include и т.п.), а тут люди специально постарались, чтобы такое же сделать гении, чо
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	14. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+1 +/–
	Сообщение от Аноним (14), 04-Дек-25, 13:28
	Вот вам про ваш любимый компостер. Читайте, наслаждайтесь. https://www.cve.org/CVERecord/SearchResults?query=composer
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	16. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+1 +/–
	Сообщение от Аноним (14), 04-Дек-25, 13:30
	Кстати, на опеннете нет новостей про CVE про компостер или перловый CPAN. Только про NPM пишут. Хотя в компостере очень много CVE.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	20. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от Аноним (20), 04-Дек-25, 13:59
	Питоны новомодное? Python, пожалуй, постарше Пыха будет.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	21. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от penetrator (?), 04-Дек-25, 14:01
	не-не-не, я не говорил, я говорил, что нода такое же убожество, как сам JS, в частности в новости про Bun писиал про ненужное, но всё потерли
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору

3. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
Сообщение от Аноним (-), 04-Дек-25, 11:56
> Уязвимость проявляется в экспериментальных компонентах А ведь когда в nginx была дырень, то все кричали "это экспериментальная фича, ничего страшного". А тут такая трагедия.
Ответить \| Правка \| Наверх \| Cообщить модератору

5. "Уязвимость в серверных компонентах React, позволяющая выполн..."	–2 +/–
Сообщение от 12yoexpert (ok), 04-Дек-25, 11:58
странно, вроде бы серьёзный язык для адекватныx взрослыx теxнарей
Ответить \| Правка \| Наверх \| Cообщить модератору


	6. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+1 +/–
	Сообщение от Аноним (6), 04-Дек-25, 12:06
	Этот язык - альма матер всех сеньоров-растокодеров
	Ответить \| Правка \| Наверх \| Cообщить модератору


	26. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от User (??), 04-Дек-25, 14:38
	Ээээээ... а конкретно тут язык - при чем?
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору


	33. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от 12yoexpert (ok), 04-Дек-25, 15:27
	язык отличный, не зря ведь 95% им пользуются
	Ответить \| Правка \| Наверх \| Cообщить модератору


	43. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от Аноним (43), 04-Дек-25, 19:14
	> а конкретно тут язык - при чем? Отличный ответ! Надо взять на вооружение против растсеров, которые катят бочку на Си.
	Ответить \| Правка \| К родителю #26 \| Наверх \| Cообщить модератору


	44. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от User (??), 04-Дек-25, 20:00
	>> а конкретно тут язык - при чем? > Отличный ответ! Надо взять на вооружение против растсеров, которые катят бочку на > Си. В случае с логическими ошибками? Берите конечно же.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	28. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+3 +/–
	Сообщение от th3m3 (ok), 04-Дек-25, 14:46
	Серьёзный язык? Это ты про js? Хорошая шутка)) Язык гoвнокодеров. Некоторые сайты уже больше гига в памяти занимают и тормозят даже на мощном железе. Вот ради чего?
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору


	35. "Уязвимость в серверных компонентах React, позволяющая выполн..."	–1 +/–
	Сообщение от Аноним (14), 04-Дек-25, 15:30
	Сайты тормозят по разным причинам: фингерпринт какой-нибудь, аналитика, ну или мэйнеры на помойных сайтах. И JS там ни при чём по сути. Смешно представить серьёзный язык. Это надо будет выковыривать уточки памяти на сайтиках на плюсах или на сишке (серьёзные язычки, лол).
	Ответить \| Правка \| Наверх \| Cообщить модератору


	49. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от Кошкажена (?), 04-Дек-25, 21:58
	> вроде бы серьёзный язык для адекватныx взрослыx теxнарей В котором можно перетирать проверку свойств? Ну-ну.
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору

7. "Уязвимость в серверных компонентах React, позволяющая выполн..."	–3 +/–
Сообщение от Анонисссм (?), 04-Дек-25, 12:24
не понимаю как реакт позволит выполнить код на сервере, если на сервере spring, а реакт у клиента )
Ответить \| Правка \| Наверх \| Cообщить модератору


	11. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+3 +/–
	Сообщение от Аноним (11), 04-Дек-25, 12:42
	Можно просто прочесть статью и там все будет понятно расписано
	Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от Аноним (14), 04-Дек-25, 13:38
	Реакт умеет SSR.
	Ответить \| Правка \| К родителю #7 \| Наверх \| Cообщить модератору

9. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
Сообщение от Аноним (9), 04-Дек-25, 12:33
В конце нулевых году похожая, практически идентичная уязвимость в xml-rpc обошлась одному финансовому сервису в полмиллиона долларов, которые увели суммарно со всех электронных кошельков. Прошло почти 20 лет, и вот оно снова. Ждём интересных взломов.
Ответить \| Правка \| Наверх \| Cообщить модератору

10. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
Сообщение от Аноним (10), 04-Дек-25, 12:37
Вот прогресс! Просто закидываешь комманды на сервер и получаешь ответ! RPC некурильщика!
Ответить \| Правка \| Наверх \| Cообщить модератору

12. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
Сообщение от Аноним (12), 04-Дек-25, 13:10
Хотел понять, чем вызвана уязвимость, перешёл по ссылке на пулл-реквест с исправлением из новости https://github.com/facebook/react/pull/35277 . Итого: 1 коммит, 270 строк удалено, 710 строк добавлено. Какой-то рефакторинг, какие-то функциональные изменения. Они там перед релизом все изменения в один коммит сквошат? Этакий опенсорз от фейсбука, чтоб было не очевидно есть в коде проблемы или нет (что собственно и привело к таким уязвимостям)? Спасибо хоть не обфусцировали, хотя уже и неважно. В общем, не настолько мне интересно, где конкретно они накосячили, чтоб в их испражнениях ковыряться. Буду думать, что просто миллион обезьян посадили за компьютер, а когда оно перестало выдавать синтаксические ошибки, закоммитили в релиз.
Ответить \| Правка \| Наверх \| Cообщить модератору


	13. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от Аноним (12), 04-Дек-25, 13:27
	О! Кто-то прошёл по ссылкам, разобрался в теме и добавил в новость ответ на мой вопрос. Спасибо тебе, Человечище!
	Ответить \| Правка \| Наверх \| Cообщить модератору


	30. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от Кошкажена (?), 04-Дек-25, 15:12
	> Они там перед релизом все изменения в один коммит сквошат? Вообще это нормальная практика, если все изменения по делу. А чтобы это понять, то нужно проекта знать.
	Ответить \| Правка \| К родителю #12 \| Наверх \| Cообщить модератору


	34. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от Аноним (12), 04-Дек-25, 15:30
	> Вообще это нормальная практика А, ну тогда ладно. Напишу Торвальдсу на почту, чтоб не заморачивался и перед релизом ядра все коммиты сквошил в один.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	37. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от Аноним (-), 04-Дек-25, 15:38
	> А, ну тогда ладно. Напишу Торвальдсу на почту, чтоб не заморачивался и > перед релизом ядра все коммиты сквошил в один. Какая тyпая аналогия /_- Тут весь код относящийся к одному фиксу превратили в один коммит. Атомарное изменение чтобы не писать Fix issue Fix issue (lost case) и тд Если тебе сильно не нравится - не делай так, но чего бухтеть?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	42. "Уязвимость в серверных компонентах React, позволяющая выполн..."	+/–
	Сообщение от Аноним (12), 04-Дек-25, 17:54
	> Тут весь код относящийся к одному фиксу превратили в один коммит. Те, кто этот коммит делали, считают по-другому: > We did a number of refactors [...] > This also fixes a critical security vulnerability. Вы тоже видите это "also" во второй строке? И по коду я не вижу, чтобы упомянутое исправление с hasOwnProperties как-то коррелировало с другими изменениями. > Если тебе сильно не нравится - не делай так Я так и не делаю. Я делаю отдельный коммит с исправлением проблемы, а потом второй, с не относящиимся к уязвимости рефакторингом. > чего бухтеть? Чего бы и не побухтеть, если лидер рынка пишет один из самых популярных проектов на планете спустя рукава.
	Ответить \| Правка \| Наверх \| Cообщить модератору