VYPR
← All advisories
High severity7.5OSV Advisory· Published Dec 11, 2025· Updated Jun 17, 2026

CVE-2025-55184

CVE-2025-55184

Description

A pre-authentication denial of service vulnerability exists in React Server Components versions 19.0.0, 19.0.1 19.1.0, 19.1.1, 19.1.2, 19.2.0 and 19.2.1, including the following packages: react-server-dom-parcel, react-server-dom-turbopack, and react-server-dom-webpack. The vulnerable code unsafely deserializes payloads from HTTP requests to Server Function endpoints, which can cause an infinite loop that hangs the server process and may prevent future HTTP requests from being served.

AI Insight

LLM-synthesized narrative grounded in this CVE's description and references.

Affected packages

Versions sourced from the GitHub Security Advisory.

PackageAffected versionsPatched versions
react-server-dom-parcelnpm
>= 19.0.0, < 19.0.219.0.2
react-server-dom-turbopacknpm
>= 19.0.0, < 19.0.219.0.2
react-server-dom-webpacknpm
>= 19.0.0, < 19.0.219.0.2
react-server-dom-parcelnpm
>= 19.1.0, < 19.1.319.1.3
react-server-dom-parcelnpm
>= 19.2.0, < 19.2.219.2.2
react-server-dom-turbopacknpm
>= 19.1.0, < 19.1.319.1.3
react-server-dom-turbopacknpm
>= 19.2.0, < 19.2.219.2.2
react-server-dom-webpacknpm
>= 19.1.0, < 19.1.319.1.3
react-server-dom-webpacknpm
>= 19.2.0, < 19.2.219.2.2

Affected products

87
  • Facebook/ReactOSV2 versions
    16.0.0-beta.1, 16.0.0-beta.3, 16.0.0-beta.4, …+ 1 more
    • (no CPE)range: 16.0.0-beta.1, 16.0.0-beta.3, 16.0.0-beta.4, …
    • cpe:2.3:a:facebook:react:*:*:*:*:*:*:*:*range: >=19.0.0,<19.0.2
  • Vercel/Next.js82 versions
    cpe:2.3:a:vercel:next.js:*:*:*:*:*:node.js:*:*+ 81 more
    • cpe:2.3:a:vercel:next.js:*:*:*:*:*:node.js:*:*range: >=13.3.0,<14.2.35
    • cpe:2.3:a:vercel:next.js:15.6.0:-:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary0:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary10:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary11:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary12:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary13:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary14:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary15:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary16:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary17:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary18:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary19:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary1:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary20:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary21:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary22:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary23:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary24:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary25:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary26:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary27:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary28:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary29:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary2:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary30:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary31:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary32:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary33:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary34:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary35:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary36:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary37:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary38:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary39:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary3:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary40:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary41:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary42:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary43:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary44:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary45:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary46:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary47:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary48:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary49:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary4:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary50:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary51:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary52:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary53:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary54:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary55:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary56:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary57:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary58:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary59:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary5:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary6:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary7:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary8:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary9:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:-:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary0:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary10:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary11:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary12:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary13:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary14:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary15:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary16:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary17:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary18:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary1:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary2:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary3:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary4:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary5:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary6:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary7:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary8:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary9:*:*:*:node.js:*:*
  • ghsa-coords3 versions
    pkg:npm/react-server-dom-parcelpkg:npm/react-server-dom-turbopackpkg:npm/react-server-dom-webpack
    >= 19.0.0, < 19.0.2+ 2 more
    • (no CPE)range: >= 19.0.0, < 19.0.2
    • (no CPE)range: >= 19.0.0, < 19.0.2
    • (no CPE)range: >= 19.0.0, < 19.0.2

Patches

Vulnerability mechanics

References

5

News mentions

0

No linked articles in our index yet.