- React-এ CVE-2025-55182 এবং Next.js-এ CVE-2025-66478 React Server Components "Flight" প্রোটোকলের মাধ্যমে অপ্রমাণিত রিমোট কোড এক্সিকিউশন সক্ষম করে।
- এই বাগটি তৈরি করা RSC পেলোডগুলির অনিরাপদ ডিসিরিয়ালাইজেশনের ফলে উদ্ভূত হয় এবং তাদের ডিফল্ট কনফিগারেশনে অনেক ফ্রেমওয়ার্ককে প্রভাবিত করে।
- গবেষকরা প্রায় ১০০% নির্ভরযোগ্যতা কাজে লাগাতে দেখেছেন এবং অনুমান করেছেন যে প্রায় ৩৯-৪০% ক্লাউড পরিবেশে React/Next.js দৃষ্টান্ত দুর্বলভাবে চলে।
- কঠোর React এবং Next.js রিলিজগুলিতে তাৎক্ষণিক আপগ্রেডই একমাত্র নিশ্চিত প্রশমন, যেখানে বিক্রেতারা ইতিমধ্যেই প্যাচ এবং নির্দেশিকা প্রেরণ করছেন।
গত কয়েকদিন ধরে, বিশ্বজুড়ে নিরাপত্তা দলগুলি রিঅ্যাক্ট ইকোসিস্টেমে নতুন প্রকাশিত কয়েকটি বাগ মূল্যায়ন করার জন্য লড়াই করছে: রিঅ্যাক্ট সার্ভার কম্পোনেন্টে CVE-2025-55182 এবং Next.js-এ CVE-2025-66478। এই ত্রুটিগুলি সার্ভারগুলিতে সম্পূর্ণ রিমোট কোড কার্যকর করার দরজা খুলে দেয় এবং সতর্কতা জাগিয়ে তোলে কারণ এগুলি প্রমাণীকরণ ছাড়াই এবং আক্রমণকারীর খুব কম প্রচেষ্টায় ট্রিগার করা যেতে পারে।
এই সমস্যাটি আধুনিক জাভাস্ক্রিপ্ট অবকাঠামোর মূল অংশ জুড়ে বিস্তৃত। React এবং Next.js ছোট ছোট প্রকল্প থেকে শুরু করে বড় বড় উদ্যোগের ব্যবহৃত প্ল্যাটফর্ম পর্যন্ত সবকিছুকে শক্তিশালী করে, এবং ক্লাউড ওয়ার্কলোডের একটি বিশাল অংশ তাদের উপর নির্ভর করে। গবেষকরা সতর্ক করে দিয়েছেন যে আসন্ন গণ শোষণ এবং প্রায় নিখুঁত শোষণ নির্ভরযোগ্যতা, উন্নয়ন এবং পরিচালনা দলগুলিকে তাদের কার্য তালিকার শীর্ষে প্যাচিং স্থানান্তর করার জন্য অনুরোধ করা হচ্ছে।
CVE-2025-55182 এবং CVE-2025-66478 আসলে কী?
সমস্যার মূলে রয়েছে রিঅ্যাক্ট সার্ভার কম্পোনেন্টস (RSC) "ফ্লাইট" প্রোটোকল, সার্ভার-চালিত রেন্ডারিং প্রবাহ পরিচালনা করার জন্য একটি প্রক্রিয়া চালু করা হয়েছে। CVE-2025-55182 হল React-এর নিজস্ব ভলারেবিলিটির জন্য নির্ধারিত শনাক্তকারী react-server প্যাকেজ, যখন CVE-2025-66478 Next.js-এর সংশ্লিষ্ট ত্রুটিটি কভার করে।, যা এই প্রোটোকলটি এম্বেড এবং প্রসারিত করে।
দুর্বলতা মূলত একটি RSC পেলোড প্রক্রিয়াকরণের পদ্ধতিতে লজিক্যাল ডিসিরিয়ালাইজেশন বাগ। যখন কোনও সার্ভার বিশেষভাবে তৈরি, ত্রুটিপূর্ণ ফ্লাইট পেলোড পায়, তখন বাস্তবায়নটি তার উপর কাজ করার আগে কাঠামোটিকে পুঙ্খানুপুঙ্খভাবে যাচাই করতে ব্যর্থ হয়। এই তদারকি আক্রমণকারী-নিয়ন্ত্রিত ডেটা এমন জায়গায় স্লিপ করতে দেয় যেখানে এটি সার্ভার-সাইড এক্সিকিউশনকে প্রভাবিত করতে পারে।
বাস্তবিক অর্থে, এর অর্থ হল একজন আক্রমণকারী একটি একক পাঠাতে পারে একটি রিঅ্যাক্ট সার্ভার ফাংশন বা RSC এন্ডপয়েন্টে তৈরি HTTP অনুরোধযখন সার্ভার সেই পেলোডটি ডিসিরিয়ালাইজ করে, তখন সার্ভার প্রক্রিয়ার সুবিধাগুলি সহ এটিকে ইচ্ছামত জাভাস্ক্রিপ্ট কোড চালানোর জন্য জোর করা যেতে পারে, যা একটি সাধারণ অনুরোধকে পূর্ণাঙ্গ রিমোট কোড এক্সিকিউশন (RCE) তে রূপান্তরিত করে।
নিরাপত্তা দল এবং বিক্রেতারা উভয় CVE-কেই বর্ণনা করে যে সর্বোচ্চ CVSS স্কোর ১০.০, সর্বোচ্চ সম্ভাব্য রেটিং। এটি দূরবর্তীভাবে পৌঁছানো, প্রমাণীকরণের প্রয়োজনীয়তার অভাব এবং প্রভাবিত পরিবেশের সম্পূর্ণ আপসের সম্ভাবনার সমন্বয়কে প্রতিফলিত করে।
কেন ডিফল্ট কনফিগারেশনগুলি উন্মুক্ত করা হয়
একটি বিষয় যা বিশেষ উদ্বেগের জন্ম দিয়েছে তা হলো এই বাগগুলি কোনও অস্বাভাবিক কনফিগারেশন ছাড়াই স্ট্যান্ডার্ড সেটআপ। একটি সাধারণ Next.js অ্যাপ্লিকেশন যা তৈরি করে create-next-app, উৎপাদনের জন্য কম্পাইল করা এবং ডিফল্ট বিকল্পগুলির সাথে স্থাপন করা সরাসরি বাক্সের বাইরে ঝুঁকিপূর্ণ হতে পারে।
একই কথা অন্য অনেকের ক্ষেত্রেও সত্য RSC-সক্ষম ফ্রেমওয়ার্ক এবং টুলিং যা একত্রিত করে react-server বাস্তবায়ন। যেহেতু তারা রিঅ্যাক্টের ডিজাইন অনুযায়ী ফ্লাইট প্রোটোকল গ্রহণ করেছিল, তাই তারা অনিরাপদ ডিসিরিয়ালাইজেশন আচরণ উত্তরাধিকারসূত্রে পেয়েছে। ত্রুটিটি কাজে লাগানোর জন্য ডেভেলপারদের কোনও বহিরাগত বৈশিষ্ট্য বা কাস্টম পার্সিং লজিক যোগ করার প্রয়োজন নেই।
এই ডিফল্ট এক্সপোজারটি আক্রমণকারীদের ঝুঁকি বাড়ায় যা RSC অথবা সার্ভার ফাংশন এন্ডপয়েন্টের জন্য ইন্টারনেট স্ক্যান করুন এবং দ্রুত কার্যকর লক্ষ্যবস্তুতে হোঁচট খায়। চুরি করা শংসাপত্র বা পূর্বে বিদ্যমান অ্যাক্সেসের কোনও প্রয়োজন নেই: যদি প্রাসঙ্গিক শেষ বিন্দুগুলি পাবলিক ইন্টারনেট থেকে পৌঁছানো যায় এবং দুর্বল সংস্করণগুলি চালায়, তবে তারা বিপদের অঞ্চলে রয়েছে।
নিরাপত্তা গবেষকরা জোর দিয়ে বলেন যে এমনকি পরিপক্ক নিরাপত্তা প্রোগ্রাম সহ সংস্থাগুলিও প্রভাবিত হতে পারে কারণ ফ্রেমওয়ার্ক আপডেট এবং টেমপ্লেটের মাধ্যমে প্রায়শই RSC পরোক্ষভাবে সক্রিয় করা হয়, এবং কিছু দল হয়তো বুঝতে পারে না যে তারা এটি উৎপাদনে ব্যবহার করছে।
React এবং Next.js ইকোসিস্টেম জুড়ে প্রভাবের পরিধি
একাধিক বিশ্লেষণ একই সিদ্ধান্তে মিলিত হয়: সম্ভাব্য বিস্ফোরণ ব্যাসার্ধের স্কেল অস্বাভাবিকভাবে বড়। উইজ রিসার্চের তথ্য থেকে জানা যায় যে ৩৯% থেকে ৪০% ক্লাউড পরিবেশে CVE-2025-55182 এবং/অথবা CVE-2025-66478 এর জন্য ঝুঁকিপূর্ণ React বা Next.js ইনস্ট্যান্স রয়েছে।। এটি পাবলিক ইন্টারনেটের অ্যাপ্লিকেশন স্তরের একটি উল্লেখযোগ্য অংশ।
সমস্যাটি কেবল স্বতন্ত্র React ইনস্টলেশনের মধ্যেই সীমাবদ্ধ নয়। বিশেষ করে, Next.js অত্যন্ত বিস্তৃত: এটি কিছু ডেটাসেটের প্রায় ৬৯% পর্যবেক্ষণকৃত পরিবেশে দেখা যায় এবং এর বেশিরভাগই পাবলিক-ফেসিং Next.js অ্যাপ চালায়। এই সংমিশ্রণের অর্থ হল ক্লাউড এস্টেটের একটি উল্লেখযোগ্য অংশ সরাসরি অবিশ্বস্ত ট্র্যাফিকের কাছে দুর্বল এন্ডপয়েন্টগুলিকে প্রকাশ করে।
নির্দিষ্ট উপাদানের ক্ষেত্রে, সমস্যাটি প্রভাবিত করে প্রতিক্রিয়া ১৯.০, ১৯.১.০, ১৯.১.১, এবং ১৯.২.০ ত্রুটিপূর্ণ সিরিজ অন্তর্ভুক্ত react-server বাস্তবায়ন। কাঠামোর দিক থেকে, RSC-কে একীভূত করে এমন বেশ কয়েকটি জনপ্রিয় সরঞ্জামও জড়িত। যদিও সঠিক প্রভাব পরিবর্তিত হয়, তবে দুর্বল প্রোটোকলের সাথে যুক্ত প্রযুক্তির তালিকার মধ্যে রয়েছে:
- পরবর্তী.js
- Vite RSC প্লাগইন (
@vitejs/plugin-rsc) - পার্সেল আরএসসি প্লাগইন (
@parcel/rsc) - রিঅ্যাক্ট রাউটার RSC প্রিভিউ
- রেডউডএসডিকে
- ওয়াকু
গবেষকরা তা জোর দিচ্ছেন ক্ষতিগ্রস্তদের বান্ডিল করে এমন কোনও কাঠামো বা লাইব্রেরি react-server বাস্তবায়ন প্রাথমিক পরামর্শে স্পষ্টভাবে তালিকাভুক্ত না হলেও, এটি সম্ভবত সুযোগের মধ্যে থাকবে। সংস্থাগুলিকে কেবল উচ্চ-ট্র্যাফিক উৎপাদন অ্যাপ নয়, বরং বিল্ড টুল, প্রিভিউ এবং পাইলট প্রকল্পগুলিতে RSC ব্যবহারের তালিকা তৈরি করার পরামর্শ দেওয়া হচ্ছে।
ক্লাউড সরবরাহকারীরাও প্রতিক্রিয়া জানাতে শুরু করেছে। উদাহরণস্বরূপ, একজন বিক্রেতা উল্লেখ করেছেন যে ভার্চুয়াল মেশিনের জন্য এর ডিফল্ট পাবলিক ওএস ইমেজগুলি ডিফল্টরূপে সক্ষম দুর্বল React উপাদানগুলির সাথে পাঠানো হয় না।, যদিও এটি গ্রাহকদের নিজস্ব React বা Next.js ইনস্টল এবং কনফিগার করার ক্ষেত্রে কাজের চাপকে রক্ষা করে না।
শোষণ কীভাবে কাজ করে এবং কেন নির্ভরযোগ্যতা এত বেশি
যদিও বিক্রেতারা ইচ্ছাকৃতভাবে কিছু নিম্ন-স্তরের শোষণের বিবরণ লুকিয়ে রাখছে যাতে ডিফেন্ডারদের প্যাচ করার সময় দেওয়া যায়, তবুও বিস্তৃত রূপরেখাটি সর্বজনীন। উচ্চ স্তরে, একজন আক্রমণকারীর কেবল একটি HTTP অনুরোধ তৈরি করুন যা একটি নির্দিষ্ট ত্রুটিপূর্ণ RSC পেলোড বহন করে একটি সার্ভার এন্ডপয়েন্টকে লক্ষ্য করে যা রিঅ্যাক্ট ফ্লাইট ডেটা পার্স করে।
যেহেতু দুর্বল কোড পাথটি স্ট্যান্ডার্ড ডিসিরিয়ালাইজেশন লজিকের অংশ, তাই কোনও ভুক্তভোগীর কোনও কিছুতে ক্লিক করার, লগ ইন করার বা বহু-পদক্ষেপের কর্মপ্রবাহ সম্পাদন করার কোনও প্রয়োজন নেই। যতক্ষণ আক্রমণকারী একটি সার্ভার ফাংশন বা RSC এন্ডপয়েন্টে পৌঁছাতে পারে, ততক্ষণ তারা চেষ্টা করতে পারে অনিরাপদ ডিসিরিয়ালাইজেশন ট্রিগার করে এবং তাদের নিজস্ব পেলোডের দিকে কার্যকরীকরণকে চালিত করে.
পরীক্ষায়, নিরাপত্তা দলগুলি জানিয়েছে যে শোষণ দেখিয়েছে "উচ্চ বিশ্বস্ততা", সাফল্যের হার ১০০% এর কাছাকাছি একবার লক্ষ্যবস্তুর কনফিগারেশন বোঝা গেলে। দূরবর্তী কাজে এই ধরণের নির্ভরযোগ্যতা অস্বাভাবিক এবং আক্রমণকারীদের স্ক্যানিং স্বয়ংক্রিয়ভাবে করতে এবং স্কেলে আপস করার সম্ভাবনা বাড়িয়ে দেয়।
বিশেষজ্ঞরা আরও সতর্ক করে বলেন যে এখন জনসাধারণের জন্য প্যাচ এবং পরামর্শগুলি কার্যকরভাবে বিপরীত প্রকৌশলের জন্য একটি রোডম্যাপ হিসেবে কাজ করে। যদিও এক্সপ্লাইট কোড এখনও ব্যাপকভাবে প্রকাশিত না হয়, তবুও হুমকিদাতারা দুর্বল এবং স্থির সংস্করণের মধ্যে পার্থক্যগুলি অধ্যয়ন করে দুর্বল যুক্তি পুনর্গঠন করতে এবং এটিকে অস্ত্র হিসেবে ব্যবহার করতে পারে, এবং একই সাথে ঝুঁকিপূর্ণও হতে পারে। ক্যাডেনা ডি সুমিনিস্ট্রো ডি এনপিএম.
সর্বশেষ প্রতিবেদন অনুসারে, বন্য অঞ্চলে ব্যাপক শোষণের কোনও নিশ্চিত ঘটনা পাওয়া যায়নি, তবে একাধিক নিরাপত্তা বিক্রেতা এবং গবেষক আশা করছেন যে এটি দ্রুত পরিবর্তিত হবে কারণ আক্রমণকারীরা আনপ্যাচড সিস্টেমের সুবিধা নেওয়ার জন্য দৌড়াদৌড়ি করে প্রতিষ্ঠানগুলি তাদের সংস্কার প্রচেষ্টা সম্পন্ন করার আগে।
বিক্রেতার প্রতিক্রিয়া এবং উপলব্ধ প্যাচগুলি
CVE-2025-55182 আবিষ্কারের কৃতিত্ব দেওয়া হয় — নিরাপত্তা গবেষক লাচলান ডেভিডসন, যিনি মেটার বাগ বাউন্টি প্রোগ্রামের মাধ্যমে সমস্যাটি রিপোর্ট করেছেন। প্রাথমিক প্রকাশ থেকে প্যাচ প্রকাশ পর্যন্ত, পরিবর্তনটি অস্বাভাবিকভাবে দ্রুত ছিল, যা বাগের তীব্রতা এবং ওয়েব ইকোসিস্টেম জুড়ে এর প্রসারকে প্রতিফলিত করে।
রিঅ্যাক্ট টিম পাঠিয়েছে প্রভাবিত প্যাকেজগুলির শক্ত সংস্করণ. মূল লাইব্রেরির জন্য, রক্ষণাবেক্ষণকারীরা React এর মতো আপডেটগুলি নির্দেশ করে। 19.0.1, 19.1.2, এবং 19.2.1 এবং ফ্লাইট প্রোটোকলে নির্দিষ্ট ডিসিরিয়ালাইজেশন গর্ত বন্ধ করার জন্য সম্পর্কিত উপাদানগুলির সমতুল্য প্যাচ করা রূপগুলি।
কাঠামোর দিকে, Next.js রক্ষণাবেক্ষণকারী Vercel, CVE-2025-66478 বরাদ্দ করেছে একই RSC ত্রুটির ডাউনস্ট্রিম প্রভাবের কারণে এবং আপডেট করা Next.js সংস্করণ প্রকাশ করেছে যা স্থির React Server Components আচরণ অন্তর্ভুক্ত করে। তাদের নিরাপত্তা পরামর্শ ব্যাখ্যা করে যে React যেভাবে পেলোডগুলিকে ডিকোড করে তার থেকে এই দুর্বলতা তৈরি হয় সার্ভার ফাংশনের শেষ বিন্দু এবং প্যাচটি সেই ডিকোডিং রুটিনগুলিকে শক্ত করে।
অন্যান্য ফ্রেমওয়ার্ক এবং প্লাগইন লেখক যারা RSC-এর উপর নির্ভর করে—যেমন Redwood, Waku, এবং Vite এবং Parcel-এর জন্য RSC প্লাগইনের রক্ষণাবেক্ষণকারীরা—তারা ইস্যু করা শুরু করেছে তাদের নিজস্ব নির্দেশিকা এবং সংস্করণ আপডেটগুলি প্যাচডের সাথে সামঞ্জস্যপূর্ণ react-server কোডব্যবহারকারীদের প্রকল্প-নির্দিষ্ট ঘোষণা এবং আপগ্রেড নির্দেশাবলী অনুসরণ করার নির্দেশ দেওয়া হচ্ছে।
বেশ কিছু বাণিজ্যিক নিরাপত্তা প্রদানকারীও সাড়া দিয়েছে। উদাহরণস্বরূপ, উইজ একটি পূর্ব-নির্মিত প্রশ্ন এবং পরামর্শ প্রকাশ করেছে এর থ্রেট সেন্টারে যাতে গ্রাহকরা তাদের পরিবেশে দুর্বল দৃষ্টান্ত সনাক্ত করতে পারেন, অন্যদিকে অন্যান্য বিক্রেতারা দাবি করেন যে কিছু ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল কিছু শোষণ প্রচেষ্টা ব্লক করতে পারে যদি React ট্র্যাফিক সঠিকভাবে তাদের মধ্য দিয়ে পরিচালিত হয়। তবুও, রক্ষণাবেক্ষণকারীরা স্পষ্ট যে কনফিগারেশন টুইক বা WAF নিয়মগুলি সঠিক প্যাচিংয়ের বিকল্প নয়।
ঝুঁকি মূল্যায়ন: কাদের সবচেয়ে বেশি চিন্তিত হওয়া উচিত?
সংক্ষিপ্ত উত্তরটি হ'ল উৎপাদনে React 19 বা RSC-নির্ভর ফ্রেমওয়ার্ক পরিচালনাকারী যেকোনো প্রতিষ্ঠান এটিকে গুরুত্ব সহকারে নেওয়া উচিত, তবে কিছু স্থাপনার ধরণ বিশেষভাবে উন্মুক্ত হিসাবে দাঁড়িয়ে আছে। উদাহরণস্বরূপ, জনসাধারণের মুখোমুখি Next.js অ্যাপ্লিকেশনগুলি একটি লোভনীয় লক্ষ্য উপস্থাপন করে কারণ তারা প্রায়শই সরাসরি ইন্টারনেটে থাকে এবং ডিফল্টরূপে RSC বৈশিষ্ট্যগুলি সক্ষম থাকে।
যেসব প্রতিষ্ঠান ব্যাপকভাবে ব্যবহার করে সার্ভার ফাংশন, সার্ভার-চালিত রাউটিং, প্রিভিউ, অথবা পরীক্ষামূলক RSC-ভিত্তিক বৈশিষ্ট্য বিশেষ করে ঝুঁকির মধ্যে রয়েছে। এই সেটআপগুলিতে, ফ্লাইট পেলোডগুলি ঘন ঘন প্রক্রিয়াজাত হওয়ার সম্ভাবনা বেশি, যা প্রতিপক্ষকে পেলোড পরীক্ষা করার এবং শোষণগুলি পরিমার্জন করার অনেক সুযোগ দেয়।
শেয়ার্ড বা মাল্টি-টেন্যান্ট পরিবেশ অতিরিক্ত উদ্বেগের কারণ হয়ে দাঁড়ায়। যদি একটি দুর্বল React পরিষেবা অভ্যন্তরীণ সম্পদের বিস্তৃত অ্যাক্সেস সহ চলে, তাহলে একটি সফল RCE একটি গুরুত্বপূর্ণ বিষয় হতে পারে নেটওয়ার্কের গভীরে বা গ্রাহক সীমানা পেরিয়ে পার্শ্বীয় চলাচলের জন্য।
বিশ্লেষকরা আরও উল্লেখ করেছেন যে মেটা, নেটফ্লিক্স, এয়ারবিএনবি, শপিফাই, ওয়ালমার্ট এবং আরও অনেক কোম্পানির দ্বারা রিঅ্যাক্ট গ্রহণের বিস্তৃতি—এর অর্থ হল বাস্তব-বিশ্বের প্রভাব কেবল প্রযুক্তিগত ঝুঁকি গণনার মধ্যে সীমাবদ্ধ নয়। একটি প্রধান অ্যাপ্লিকেশন স্ট্যাকের মধ্যে একটি আপস ব্যবহারকারী, অংশীদার এবং ডাউনস্ট্রিম ইকোসিস্টেমগুলিতে তীব্র প্রভাব ফেলতে পারে।
পরিশেষে, এমনকি যেসব দল মনে করে যে তারা RSC-এর উপর খুব বেশি নির্ভর করে না, তাদেরও এই অনুমান যাচাই করা উচিত। কারণ টুলিং এবং বয়লারপ্লেটগুলি নীরবে RSC বৈশিষ্ট্যগুলি সক্ষম করতে পারে, কিছু প্রকল্প তাদের রক্ষণাবেক্ষণকারীরা প্রথম নজরে যা বুঝতে পারে তার চেয়ে বেশি উন্মুক্ত হতে পারে।
React এবং Next.js ব্যবহারকারীদের জন্য ব্যবহারিক প্রশমন পদক্ষেপ
পরামর্শ জুড়ে, একটি বিষয় ধারাবাহিকভাবে পুনরাবৃত্তি করা হয়: প্যাচ করা সংস্করণে আপগ্রেড করাই একমাত্র চূড়ান্ত সমাধান। কোনও কনফিগারেশন ফ্ল্যাগ বা ছোটখাটো পরিবর্তন নেই যা প্রভাবিত প্যাকেজগুলি আপডেট না করে অন্তর্নিহিত অনিরাপদ ডিসিরিয়ালাইজেশন আচরণকে সম্পূর্ণরূপে নিরপেক্ষ করে।
সরাসরি React ব্যবহারকারী প্রতিষ্ঠানগুলির জন্য, রক্ষণাবেক্ষণকারীরা সুপারিশ করেন হার্ডড রিলিজে চলে যাওয়া—যেমন ১৯.০.১, ১৯.১.২, ১৯.২.১ বা নতুন—হালনাগাদকৃত সংস্করণ সহ react-server এবং সম্পর্কিত RSC প্যাকেজগুলি. টিমগুলিকে তাদের ডিপেন্ডেন্সি ট্রিতে CVE-2025-55182 সম্বোধন করা সঠিক সংস্করণগুলি নিশ্চিত করার জন্য অফিসিয়াল React নিরাপত্তা উপদেষ্টার সাথে পরামর্শ করা উচিত।
Next.js প্রকল্পগুলি একইভাবে করা উচিত CVE-2025-66478 এর জন্য ফিক্স অন্তর্ভুক্ত প্যাচ করা ফ্রেমওয়ার্ক সংস্করণগুলিতে আপগ্রেড করুন। যেহেতু একটি ডিফল্ট Next.js বিল্ড প্রভাবিত হওয়ার জন্য যথেষ্ট, তাই শুধুমাত্র ফ্ল্যাগশিপ অ্যাপ্লিকেশন নয়, ছোট সাইট এবং অভ্যন্তরীণ ড্যাশবোর্ডগুলিও মনোযোগের দাবি রাখে।
অন্যান্য RSC-সক্ষম ফ্রেমওয়ার্ক ব্যবহার করে এমন পরিবেশের জন্য—যেমন Redwood, Waku, অথবা Vite এবং Parcel-এর মতো বান্ডলারের জন্য RSC প্লাগইন—পরামর্শ হল বিক্রেতার ঘোষণাগুলি নিবিড়ভাবে ট্র্যাক করুন এবং কঠোরভাবে একত্রিত করে এমন যেকোনো আপডেট স্থাপন করুন react-server বাস্তবায়ন যত তাড়াতাড়ি সম্ভব, উৎপাদনে সংশোধনগুলি রোল করার আগে এবং ব্যবহারিকভাবে প্রয়োগ করার আগে অ্যাপ্লিকেশন আচরণ যাচাই করার জন্য স্টেজিং পরিবেশ ব্যবহার করা উচিত। gestión segura de secretos en GitHub Actions.
প্যাচিংয়ের সমান্তরালে, নিরাপত্তা দলগুলি করতে পারে দুর্বল সংস্করণ এবং উন্মুক্ত এন্ডপয়েন্টগুলির জন্য স্ক্যান করুন। Wiz এর মতো বিক্রেতাদের সরঞ্জামগুলি সংবেদনশীল React বা Next.js ইনস্ট্যান্সগুলি কোথায় চলছে তা সনাক্ত করতে সাহায্য করতে পারে, অন্যদিকে ওয়েব সুরক্ষা স্ক্যানার এবং সম্পদের তালিকাগুলি অভ্যন্তরীণ নেটওয়ার্কগুলিতে সীমাবদ্ধ থাকা বা ইন্টারনেট থেকে কোন পরিষেবাগুলি পৌঁছানো যায় তা ম্যাপ করতে পারে।
অদূর ভবিষ্যতে ডিফেন্ডারদের কী কী বিষয়ের দিকে নজর রাখা উচিত
CVE-2025-55182 এবং CVE-2025-66478 এর প্রকাশ একটি পরিচিত প্যাটার্নকে চিত্রিত করে: বহুল ব্যবহৃত উপাদানের মধ্যে একটি গুরুত্বপূর্ণ বাগ পৃষ্ঠতলের দিকে, দ্রুত প্যাচগুলি আছড়ে পড়ে এবং তারপরে ডিফেন্ডার এবং আক্রমণকারীদের মধ্যে একটি প্রতিযোগিতা শুরু হয়। এই ক্ষেত্রে, একটি ১০.০ CVSS স্কোর, অননুমোদিত RCE, এবং ডিফল্ট এক্সপোজার সেই দৌড়কে বিশেষভাবে তীব্র করে তোলে।
নিরাপত্তা গবেষকরা আশা করছেন যে পরবর্তী পর্যায়ে জড়িত থাকবে প্যাচগুলির দ্রুত বিপরীত প্রকৌশল হুমকিদাতাদের দ্বারা। ধারণার প্রমাণের বিস্তারিত কোড প্রকাশ না হলেও, পুরানো এবং নতুন সংস্করণের তুলনা করলে দক্ষ আক্রমণকারীদের দুর্বল যুক্তি পুনর্গঠনের জন্য যথেষ্ট সূত্র পাওয়া যায়।
সংস্থাগুলির বৃদ্ধির আশা করা উচিত React এবং Next.js এন্ডপয়েন্টের জন্য স্ক্যানিং, পাশাপাশি সার্ভার ফাংশন এবং RSC URL-এর লক্ষ্যে আরও বেশি HTTP অনুরোধ অনুসন্ধান করা। লগিং এবং পর্যবেক্ষণ সিস্টেমগুলি এখানে ভূমিকা পালন করতে পারে: অস্বাভাবিক বা বিকৃত ফ্লাইট পেলোড, ডিসিরিয়ালাইজেশনের সময় অপ্রত্যাশিত ত্রুটি এবং নির্দিষ্ট এন্ডপয়েন্টে অনুরোধের বৃদ্ধি শোষণের প্রচেষ্টার প্রাথমিক সূচক হতে পারে, এবং আরও অনেক কিছুর জন্য সতর্কতামূলক ব্যবস্থা রয়েছে। বার্প সহযোগী pueden ayudar a reproducir vectores.
কিছু ডিফেন্ডারও আবার খেলছেন প্রতিরক্ষা-গভীর নিয়ন্ত্রণ তাদের React স্থাপনার আশেপাশে। এর মধ্যে থাকতে পারে ওয়েব অ্যাপ্লিকেশন ফায়ারওয়ালের মাধ্যমে ট্র্যাফিক রাউটিং করা, অভ্যন্তরীণ পরিষেবাগুলির নেটওয়ার্ক এক্সপোজার কঠোর করা এবং অ্যাপ্লিকেশন রানটাইম অনুমতিগুলির জন্য কঠোরতম-সুবিধাপ্রাপ্ত কনফিগারেশন প্রয়োগ করা যাতে কোনও আপস স্বয়ংক্রিয়ভাবে বিস্তৃত অ্যাক্সেস না দেয়।
দুর্ঘটনা প্রতিক্রিয়া দলগুলিকে পরামর্শ দেওয়া হচ্ছে যে এই CVE গুলির সাথে জড়িত সম্ভাব্য তদন্তের জন্য প্রস্তুত থাকুন। এর মধ্যে থাকতে পারে প্লেবুক আপডেট করা, সন্দেহজনক আচরণ বিশ্লেষণ করার জন্য প্রাসঙ্গিক লগগুলি দীর্ঘ সময়ের জন্য সংরক্ষণ করা নিশ্চিত করা এবং কোনও আপস সন্দেহ হলে সহায়তা করতে পারে এমন পরিষেবা প্রদানকারী বা সুরক্ষা বিক্রেতাদের সাথে যোগাযোগ স্থাপন করা।
সর্বোপরি, গবেষক, বিক্রেতা এবং ক্লাউড সরবরাহকারীদের বার্তাটি সামঞ্জস্যপূর্ণ: যদিও এখনও পর্যন্ত কোনও ব্যাপক শোষণের বিষয়টি জনসমক্ষে নিশ্চিত করা হয়নি, প্রযুক্তিগত পরিস্থিতি এটিকে একটি আকর্ষণীয় লক্ষ্য করে তোলে, এবং প্যাচের জন্য অপেক্ষা করলে ঝুঁকির সময়কাল উল্লেখযোগ্যভাবে বৃদ্ধি পায়.
React-এ CVE-2025-55182 এবং Next.js-এ CVE-2025-66478-এর মতো গুরুত্বপূর্ণ রিমোট কোড এক্সিকিউশন বাগগুলির ক্ষেত্রে, ব্যবহারিক উপায়টি সহজ: ধরে নিন যে দুর্বল RSC এন্ডপয়েন্টগুলি অনুসন্ধান করা হবে, কঠোর সংস্করণগুলিতে আপগ্রেডগুলিকে অগ্রাধিকার দিন, এবং উন্মুক্ত দৃষ্টান্তগুলি সনাক্ত এবং সুরক্ষার জন্য উপলব্ধ সরঞ্জাম ব্যবহার করুন।। একটি ওয়েব স্ট্যাক যা React এবং এর আশেপাশের কাঠামোর উপর খুব বেশি নির্ভর করে, এখন সময়োপযোগী প্রতিকার পরবর্তী সময়ে কম জরুরি পরিস্থিতিতে ফলপ্রসূ হওয়ার সম্ভাবনা রয়েছে।
