Une faille critique dans React déclenche une vague de voleurs de portefeuilles crypto

Security Alliance (SEAL) a émis un avertissement indiquant que des pirates exploitent une vulnérabilité grave de React pour prendre le contrôle de sites web de cryptomonnaies. Le SEAL a déclaré que cette vulnérabilité alimente une vague d'attaques de vidage de portefeuilles qui mettent les utilisateurs et les plateformes en danger immédiat.

Les composants de serveur React (RSC) transmettent le résultat rendu aux clients (navigateurs) tout en fonctionnant sur le serveur, plutôt que dans le navigateur. Cependant, l'équipe React a découvert une vulnérabilité critique avec une note de gravité maximale de 10 sur 10 dans ces packages.

Les serveurs React non corrigés risquent des attaques d'exécution de code à distance

L'équipe React publié a publié un avis indiquant que la vulnérabilité, connue sous le nom de React2Shell et répertoriée comme CVE-2025-55182, permet aux attaquants d'exécuter à distance du code sur les serveurs compromis sans nécessiter d'authentification. Les mainteneurs de React ont signalé la vulnérabilité le 3 décembre et lui ont attribué la note de gravité la plus élevée possible.

Selon l'équipe React, la CVE-2025-55182 affecte les packages react-server-dom-parcel, react-server-dom-turbopack et react-server-dom-webpack dans les versions 19.0, 19.1.0, 19.1.1 et 19.2.0.

Voleurs de cryptomonnaies utilisant la CVE React-2025-55182

Nous observons une forte augmentation des programmes de vidage de portefeuilles (drainers) téléchargés sur des sites web légitimes (de cryptomonnaies) grâce à l'exploitation de la récente CVE React.

Tous les sites web doivent examiner le code front-end à la recherche d'actifs suspects MAINTENANT.

— Security Alliance (@_SEAL_Org) décembre 13, 2025

Le SEAL a exhorté à ce que « Tous les sites web doivent examiner le code front-end à la recherche d'actifs suspects MAINTENANT. » Le SEAL a également déclaré que les utilisateurs devraient faire preuve de prudence lors de la signature de toute signature de permission liée à la cryptomonnaie, car tous les sites web, pas seulement ceux utilisant Web3 les protocoles, sont vulnérables.

Selon le SEAL, toutes les équipes de développement web doivent scanner les hôtes pour la CVE-2025-55182 et vérifier si leur code charge inattendument des actifs à partir d'hôtes inconnus. Le SEAL a en outre instruit les équipes de confirmer que le portefeuille affiche le destinataire correct lors de la demande de signature. Les équipes doivent également déterminer si l'un des « Scripts » chargés par leur code est du JavaScript obscurci.

Peu après la divulgation de la CVE-2025-55182, SEAL a trouvé deux autres vulnérabilités dans les composants de serveur React lors des tests du correctif précédent. Selon le blog React, SEAL a divulgué la CVE-2025-55184 et la CVE-2025-67779 (CVSS 7,5), qui sont identifiées comme des vulnérabilités de déni de service et de haute gravité. Ensuite, SEAL a divulgué la CVE-2025-55183 (CVSS 5,3) que les chercheurs ont identifiée comme une exposition de code source et de gravité moyenne.

L'équipe React a conseillé à tous les sites web de mettre à niveau immédiatement en raison de la gravité des vulnérabilités récemment révélées.

Selon l'avis de JS, la vulnérabilité de déni de service, identifiée comme la CVE-2025-55184, permet aux attaquants de créer des requêtes HTTP malveillantes et de les envoyer à n'importe quel point de terminaison App Router ou Server Function. Le rapport explique en outre que ces requêtes créent une boucle infinie qui bloque le processus du serveur et empêche le traitement des futures requêtes HTTP.

Selon le système commun de notation des vulnérabilités (CVSS), la CVE-2025-55184 porte une note de gravité élevée de 7,5 sur 10.

La CVE-2025-55183, la deuxième vulnérabilité de fuite de code source, a une note de gravité moyenne de 5,3 sur 10.

Selon Next.js, la chaîne d'exploitation serait similaire. Next.js expliqués indique qu'un point de terminaison vulnérable reçoit une requête HTTP spécialement construite de la part de l'attaquant, qui renvoie le code source de n'importe quelle Server Function. L'équipe Next.js a mis en garde contre le fait que les secrets codés en dur et la logique de l'entreprise pourraient être exposés par la divulgation du code source généré.

Les draineurs de crypto-monnaies affinent leurs tactiques d'évasion pour des vols discrets

La hausse des drainers, facilitée par la vulnérabilité React, coïncide avec les tests de nouvelles stratégies par les opérateurs de drainers voleurs de cryptomonnaies et leurs affiliés pour échapper à la détection et exploiter portefeuilles crypto. 

Selon des spécialistes de la sécurité cryptographique du Security Alliance (SEAL), les affiliés de drainers utilisent désormais des domaines à haute réputation pour les pages de destination et l'hébergement de charges utiles, réenregistrent des domaines précédemment valides et mettent en œuvre des techniques d'empreinte digitale sophistiquées. Les chercheurs de la sécurité a affirmé affirment que l'objectif est de diffuser des drainers de cryptomonnaies, un morceau de JavaScript nuisible injecté dans les sites web de phishing, et de contrer les chercheurs en sécurité.

SEAL a déclaré que les tactiques d'évasion varient parmi les affiliés d'une famille de drainers particulière et ne sont pas systématiquement appliquées au niveau du service de drainer.

Dans un scénario criminel différent dans le domaine des cryptomonnaies, le protocole DeFi Aevo (anciennement Ribbon Finance) a annoncé a annoncé dimanche que 2,3 millions de dollars avaient été vidés de ses coffres. Le créateur DeFi Anton Cheng a affirmé qu'un code Oracle mis à jour, qui permettait à quiconque de définir les prix des nouveaux actifs, était la cause principale de la brèche.