عيب حرج في React يطلق موجة من برامج استخراج محافظ العملات المشفرة

أصدرت Security Alliance (SEAL) تحذيراً من أن hackers يستغلون ثغرة خطيرة في React للسيطرة على مواقع العملات المشفرة. ذكرت SEAL أن الثغرة تغذي موجة من هجمات استخراج المحافظ التي تعرض المستخدمين والمنصات للخطر الفوري.

تقوم مكونات الخادم React (RSCs) بتغذية النتيجة المعروضة للعملاء (المتصفحات) أثناء عملها على الخادم، بدلاً من المتصفح. ومع ذلك، اكتشف فريق React ثغرة حرجة بتصنيف شدة أقصى يبلغ 10 من 10 في هذه الحزم.

خوادم React غير المصححة معرضة لهجمات تنفيذ التعليمات البرمجية عن بُعد

فريق React صادرًا إصدار إشعار يوضح أن الثغرة، المعروفة باسم React2Shell والمسجلة كـ CVE-2025-55182، تسمح للمهاجمين بتنفيذ كود على الخوادم المخترقة دون الحاجة إلى المصادقة. أفاد مشرفو React عن الثغرة في 3 ديسمبر ومنحوا أعلى درجة شدة ممكنة.

وفقاً لفريق React، تؤثر CVE-2025-55182 على حزم react-server-dom-parcel، react-server-dom-turbopack، وreact-server-dom-webpack في الإصدارات 19.0، 19.1.0، 19.1.1، و19.2.0.

برامج استخراج العملات المشفرة باستخدام React CVE-2025-55182

نلاحظ ارتفاعاً كبيراً في برامج الاستخراج التي تم تحميلها على مواقع شرعية (عملات مشفرة) من خلال استغلال ثغرة React الأخيرة.

يجب على جميع المواقع مراجعة الكود الأمامي لأي أصول مشبوهة الآن.

— Security Alliance (@_SEAL_Org) ديسمبر 13، 2025

حثت SEAL على أن "يجب على جميع المواقع مراجعة الكود الأمامي لأي أصول مشبوهة الآن." وأوضحت SEAL أيضاً أن المستخدمين يجب أن يتوخوا الحذر عند توقيع أي توقيع إذن متعلق بالعملات المشفرة، حيث أن جميع المواقع، وليس فقط تلك التي تستخدم ويب3 البروتوكولات، معرضة للخطر.

وفقاً لـ SEAL، يجب على جميع فرق تطوير الويب فحص المضيفين بحثاً عن CVE-2025-55182 ومعرفة ما إذا كان الكود الخاص بهم يحمل أصولاً بشكل غير متوقع من مضيفين غير معروفين. وجهت SEAL الفرق أيضاً إلى تأكيد أن المحفظة تعرض المستلم الصحيح في طلب توقيع التوقيع. يجب على الفرق أيضاً تحديد ما إذا كان أي من "البرامج النصية" التي يحملها الكود الخاص بهم عبارة عن جافا سكريبت مشفر.

بعد وقت قصير من الكشف عن CVE-2025-55182، وجدت SEAl ثغرتين إضافيتين في مكونات خادم React أثناء اختبار التصحيح السابق. وفقاً لمدونة React، كشفت SEAL عن CVE-2025-55184 وCVE-2025-67779 (CVSS 7.5)، والتي تم تحديدها كثغرات رفض الخدمة وعالية الشدة. بعد ذلك، كشفت SEAL عن CVE-2025-55183 (CVSS 5.3) والتي حدد الباحثون أنها تعرض مصدر الكود ومتوسطة الشدة.

نصح فريق React بأن جميع المواقع يجب أن تترقى فوراً بسبب خطورة الثغرات التي تم الكشف عنها مؤخراً.

وفقاً لإشعار JS، تسمح ثغرة رفض الخدمة، المحددة كـ CVE-2025-55184، للمهاجمين بإنشاء طلبات HTTP خبيثة وإرسالها إلى أي نقطة نهاية لـ App Router أو دالة الخادم. يوضح التقرير أيضاً أن هذه الطلبات تنشئ حلقة لا نهائية تعطل عملية الخادم وتمنع تقديم طلبات HTTP المستقبلية.

وفقاً لنظام تصنيف الثغرات المشتركة (CVSS)، تحمل CVE-2025-55184 درجة شدة عالية تبلغ 7.5 من 10.

CVE-2025-55183، ثغرة تسرب مصدر الكود الثانية، لها تصنيف شدة متوسط يبلغ 5.3 من 10.

وفقاً لـ Next.js، ستكون سلسلة الاستغلال مشابهة. Next.js المغادرات كجزء من اتجاه متزايد في صناعة الذكاء الاصطناعي. مؤخراً، غادر جيف دين من Google لبدء Discovery Loop، مشروعه الخاص للذكاء الاصطناعي. أن نقطة النهاية المعرضة تستقبل طلب HTTP مصمم خصيصاً من المهاجم، والذي يعيد مصدر الكود لأي دالة خادم. حذر فريق Next.js من أن الأسرار الثابتة ومنطق الشركة يمكن أن يتم الكشف عنها من خلال نشر مصدر الكود المولد.

برامج استخراج العملات المشفرة تحسن تكتيكات التهرب للسرقة السرية للعملات المشفرة

يتزامن ارتفاع برامج الاستخراج، الذي سهّلته ثغرة React، مع اختبار استراتيجيات جديدة من قبل مشغلي برامج استخراج العملات المشفرة وشركائهم للتهرب من الكشف واستغلال محافظ العملات الرقمية. 

وفقاً لمتخصصي أمان العملات المشفرة من Security Alliance (SEAL)، يستخدم شركاء برامج الاستخراج الآن نطاقات عالية السمعة لصفحات الهبوط واستضافة الحمولة، وإعادة تسجيل النطاقات الصالحة سابقاً، وتنفيذ تقنيات بصمات إصبع متطورة. باحثو الأمان زعمت أن الهدف هو نشر برامج استخراج العملات المشفرة، وهي قطعة ضارة من JavaScript يتم حقنها في مواقع التصيد، وإعاقة باحثي الأمان.

قالت SEAL إن تكتيكات التهرب تختلف بين شركاء عائلة برامج استخراج معينة ولا يتم فرضها بشكل متسق على مستوى خدمة برامج الاستخراج.

في سيناريو جريمة عملة مشفرة مختلف، بروتوكول DeFi Aevo (سابقاً Ribbon Finance) . الأحد أن 2.3 مليون دولار تم استخراجها من خزائنه. ادعى منشئ DeFi أنطون تشنغ أن كود Oracle المحدث، الذي مكن أي شخص من تحديد أسعار الأصول الجديدة، كان السبب الرئيسي للاختراق.