重大なReactの脆弱性が暗号ウォレットの盗難を引き起こす

重大なReactの欠陥がクリプトウォレットドレイナーの波を引き起こす

Security Alliance（SEAL）は、ハッカーが深刻なReactの脆弱性を悪用して暗号通貨ウェブサイトを乗っ取っていると警告を発した。SEALは、この脆弱性がユーザーとプラットフォームに即時のリスクをもたらすウォレットドレイン攻撃の急増に拍車をかけていると述べた。

React Server Components（RSCs）は、ブラウザではなくサーバー上で動作しながら、レンダリング結果をクライアント（ブラウザ）にフィードする。しかし、Reactチームはこれらのパッケージで最大深刻度評価10/10の重大な脆弱性を発見した。

パッチ未適用のReactサーバーはリモートコード実行攻撃のリスクに晒される 発行 Reactチームは、React2Shellとして知られ、CVE-2025-55182としてリストされているこの脆弱性が、認証を必要とせずに侵害されたサーバー上で攻撃者がリモートで コードを実行することを可能にするという勧告を発表した。Reactのメンテナーは12月3日にこの脆弱性を報告し、最高レベルの深刻度スコアを割り当てた。

Reactチームによると、CVE-2025-55182は、バージョン19.0、19.1.0、19.1.1、および19.2.0のreact-server-dom-parcel、react-server-dom-turbopack、およびreact-server-dom-webpackパッケージに影響を与える。

React CVE-2025-55182を使用したクリプトドレイナー

最近のReact CVEの悪用を通じて、正規の（クリプト）ウェブサイトにアップロードされたドレイナーの大幅な増加を観察している。

すべてのウェブサイトは、今すぐ不審なアセットについてフロントエンドコードをレビューすべきである。

— Security Alliance (@_SEAL_Org) 12月 13, 2025

SEALは、「すべてのウェブサイトは、今すぐ不審なアセットについてフロントエンドコードをレビューすべきである」と促した。SEALはさらに、ユーザーが暗号関連の許可署名を行う際に注意を払うよう指摘し、 Web3 プロトコルを使用しているウェブサイトだけでなく、すべてのウェブサイトが脆弱であると述べた。

SEALによると、すべてのウェブ開発チームは、CVE-2025-55182についてホストをスキャンし、コードが予期せず未知のホストからアセットをロードしていないか確認すべきである。SEALはさらに、チームが署名リクエスト時にウォレットが正しい受信者を表示しているか確認するよう指示した。チームは、コードによって読み込まれた「スクリプト」のいずれかが難読化されたJavaScriptであるかどうかを決定する必要がある。

CVE-2025-55182の公開直後、SEAlは前のパッチをテストしながらReact Server Componentsでさらに2つの脆弱性を発見した。Reactブログによると、SEALはCVE-2025-55184およびCVE-2025-67779（CVSS 7.5）を公開した。 これらは サービス妨害および高深刻度の脆弱性として識別されている。次に、SEALは、研究者らがソースコード露出および中程度深刻度として識別したCVE-2025-55183（CVSS 5.3）を公開した。

Reactチームは、最近明らかにされた脆弱性の深刻さにより、すべてのウェブサイトが直ちにアップグレードするよう助言した。

JSの勧告によると、サービス妨害脆弱性であるCVE-2025-55184は、攻撃者が悪意のあるHTTPリクエストを作成し、任意のApp RouterまたはServer Functionエンドポイントに送信することを可能にする。報告書はさらに、これらのリクエストが無限ループを作成し、サーバープロセスをハングさせて、将来のHTTPリクエストが提供されるのを防ぐと説明した。

Common Vulnerability Scoring System（CVSS）によると、CVE-2025-55184は10点満点中7.5点の高深刻度スコアを有している。

2番目のソースコード漏洩脆弱性であるCVE-2025-55183は、10点満点中5.3点の中程度深刻度評価を有している。

Next.jsによると、エクスプロイトチェーンは類似しているだろう。Next.js このタイミングは、物語にさらに厚みを与えている。これらの退任は、OpenAIがIPOを見据えている時期に起きている。 は、脆弱なエンドポイントが攻撃者から特別に構築されたHTTPリクエストを受け取り、それが任意のServer Functionのソースコードを返すと述べている。Next.jsチームは、生成されたソースコードの開示により、ハードコードされたシークレットおよび会社のロジックが露出する可能性があることを警告した。

クリプトドレイナー、 stealthyなクリプト盗難のための回避戦術を洗練

Reactの脆弱性によって促進されたドレイナーの増加は、クリプト盗難ドレイナーの運営者とそのアフィリエイトが検出を回避し、 暗号通貨ウォレット. 

悪用するために新しい戦略をテストしている時期と一致している。Security Alliance（SEAL）のクリプトセキュリティ専門家によると、ドレイナーアフィリエイトは現在、ランディングページおよびペイロードホスティングに高信頼性ドメインを使用し、以前有効だったドメインを再登録し、洗練されたフィンガープリンティング技術を実装している。セキュリティ研究者 主張した は、フィッシングウェブサイトに注入される有害なJavaScriptであるクリプトドレイナーを拡散し、セキュリティ研究者を妨害することが目的であると述べた。

SEALは、特定のドレイナーファミリーのアフィリエイト間で回避戦術が異なり、ドレイナーサービスレベルで一貫して強制されているわけではないと述べた。

別の暗号通貨犯罪シナリオでは、DeFiプロトコルAevo（旧Ribbon Finance） 。同社は、FRUTが人工知能のプラットフォームおよびハードウェア側面の「単一ティッカー表現」として機能すると信じています。これは単に、投資家が異なるチップメーカーやプラットフォーム名を混在させるのではなく、1つの製品でAIインフラストラクチャにアクセスできることを意味します。 は日曜日に、そのバンクから230万ドルがドレインされたと発表した。DeFiクリエイターのAnton Chengは、誰でも新規アセットの価格を設定可能にする更新されたOracleコードが、侵害の主な原因であると主張した。