CVE-2025-55184

A pre-authentication denial of service vulnerability exists in React Server Components versions 19.0.0, 19.0.1 19.1.0, 19.1.1, 19.1.2, 19.2.0 and 19.2.1, including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. The vulnerable code unsafely deserializes payloads from HTTP requests to Server Function endpoints, which can cause an infinite loop that hangs the server process and may prevent future HTTP requests from being served.

CVSS v3 7.5 HIGH

7.5^/10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 3.9 / Impact : 3.6

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required NONE

User Interaction NONE

Confidentiality Impact NONE

Integrity Impact NONE

Availability Impact HIGH

Scope UNCHANGED

References

Link	Resource
https://react.dev/blog/2025/12/11/denial-of-service-and-source-code-exposure-in-react-server-components	Vendor Advisory
https://www.facebook.com/security/advisories/cve-2025-55184	Vendor Advisory
https://github.com/KingHacker353/CVE-2025-55184

Configurations

Configuration 1 (hide)

OR	cpe:2.3:a:facebook:react::::::::
	cpe:2.3:a:facebook:react::::::::
	cpe:2.3:a:facebook:react::::::::

Configuration 2 (hide)

OR	cpe:2.3:a:vercel:next.js::::::node.js::*
	cpe:2.3:a:vercel:next.js::::::node.js::*
	cpe:2.3:a:vercel:next.js::::::node.js::*
	cpe:2.3:a:vercel:next.js::::::node.js::*
	cpe:2.3:a:vercel:next.js::::::node.js::*
	cpe:2.3:a:vercel:next.js::::::node.js::*
	cpe:2.3:a:vercel:next.js::::::node.js::*
	cpe:2.3:a:vercel:next.js::::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:-::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary0::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary1::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary10::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary11::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary12::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary13::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary14::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary15::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary16::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary17::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary18::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary19::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary2::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary20::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary21::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary22::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary23::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary24::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary25::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary26::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary27::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary28::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary29::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary3::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary30::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary31::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary32::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary33::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary34::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary35::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary36::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary37::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary38::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary39::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary4::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary40::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary41::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary42::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary43::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary44::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary45::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary46::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary47::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary48::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary49::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary5::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary50::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary51::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary52::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary53::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary54::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary55::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary56::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary57::::node.js::*
	cpe:2.3:a:vercel:next.js:15.6.0:canary58::::node.js::*
cpe:2.3:a:vercel:next.js:15.6.0:canary59::::node.js::*
cpe:2.3:a:vercel:next.js:15.6.0:canary6::::node.js::*
cpe:2.3:a:vercel:next.js:15.6.0:canary7::::node.js::*
cpe:2.3:a:vercel:next.js:15.6.0:canary8::::node.js::*
cpe:2.3:a:vercel:next.js:15.6.0:canary9::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:-::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary0::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary1::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary10::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary11::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary12::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary13::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary14::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary15::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary16::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary17::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary18::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary2::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary3::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary4::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary5::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary6::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary7::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary8::::node.js::*
cpe:2.3:a:vercel:next.js:16.1.0:canary9::::node.js::*

History

15 Dec 2025, 17:15

Type	Values Removed	Values Added
References		() https://github.com/KingHacker353/CVE-2025-55184 -

12 Dec 2025, 18:18

Type	Values Removed	Values Added
CPE		cpe:2.3:a:vercel:next.js:15.6.0:canary56::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary28::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary57::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary31::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary53::::node.js::* cpe:2.3:a:vercel:next.js::::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary39::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary12::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary37::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary40::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary26::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary0::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary29::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary30::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary4::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary8::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary47::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary25::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary7::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary7::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary3::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary51::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary19::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary16::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary32::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary35::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary17::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary12::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary43::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary58::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary14::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary27::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary13::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary20::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary22::::node.js::* cpe:2.3:a:facebook:react:::::::: cpe:2.3:a:vercel:next.js:16.1.0:canary13::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary0::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary4::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary34::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary24::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary38::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary15::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:-::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary52::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary49::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary1::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary3::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary55::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary23::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary46::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary11::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary6::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary18::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary9::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary45::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary41::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary1::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary21::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary14::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary6::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary11::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary5::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary8::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary10::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary33::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary59::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary54::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary2::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary44::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary18::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary16::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary9::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary5::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary50::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:-::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary42::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary15::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary2::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary36::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary48::::node.js::* cpe:2.3:a:vercel:next.js:16.1.0:canary10::::node.js::* cpe:2.3:a:vercel:next.js:15.6.0:canary17::::node.js::*
CWE		CWE-502
First Time		Vercel next.js Facebook react Facebook Vercel
References	~~() https://react.dev/blog/2025/12/11/denial-of-service-and-source-code-exposure-in-react-server-components -~~	() https://react.dev/blog/2025/12/11/denial-of-service-and-source-code-exposure-in-react-server-components - Vendor Advisory
References	~~() https://www.facebook.com/security/advisories/cve-2025-55184 -~~	() https://www.facebook.com/security/advisories/cve-2025-55184 - Vendor Advisory

11 Dec 2025, 20:16

Type	Values Removed	Values Added
New CVE

Information

Published : 2025-12-11 20:16

Updated : 2025-12-15 17:15

NVD link : CVE-2025-55184

Mitre link : CVE-2025-55184

CVE.ORG link : CVE-2025-55184

JSON object : View

Products Affected

vercel

next.js

facebook

react

CWE

CWE-502

Deserialization of Untrusted Data

7.5 /10