VYPR
← All advisories
High severity7.5OSV Advisory· Published Dec 12, 2025· Updated Jun 17, 2026

CVE-2025-67779

CVE-2025-67779

Description

It was found that the fix addressing CVE-2025-55184 in React Server Components was incomplete and does not prevent a denial of service attack in a specific case. React Server Components versions 19.0.2, 19.1.3 and 19.2.2 are affected, allowing unsafe deserialization of payloads from HTTP requests to Server Function endpoints. This can cause an infinite loop that hangs the server process and may prevent future HTTP requests from being served.

AI Insight

LLM-synthesized narrative grounded in this CVE's description and references.

Affected packages

Versions sourced from the GitHub Security Advisory.

PackageAffected versionsPatched versions
react-server-dom-parcelnpm
>= 19.0.2, < 19.0.319.0.3
react-server-dom-parcelnpm
>= 19.1.3, < 19.1.419.1.4
react-server-dom-parcelnpm
>= 19.2.2, < 19.2.319.2.3
react-server-dom-turbopacknpm
>= 19.0.2, < 19.0.319.0.3
react-server-dom-turbopacknpm
>= 19.1.3, < 19.1.419.1.4
react-server-dom-turbopacknpm
>= 19.2.2, < 19.2.319.2.3
react-server-dom-webpacknpm
>= 19.0.2, < 19.0.319.0.3
react-server-dom-webpacknpm
>= 19.1.3, < 19.1.419.1.4
react-server-dom-webpacknpm
>= 19.2.2, < 19.2.319.2.3

Affected products

89
  • Facebook/ReactOSV4 versions
    16.0.0-beta.1, 16.0.0-beta.3, 16.0.0-beta.4, …+ 3 more
    • (no CPE)range: 16.0.0-beta.1, 16.0.0-beta.3, 16.0.0-beta.4, …
    • cpe:2.3:a:facebook:react:19.0.2:*:*:*:*:*:*:*
    • cpe:2.3:a:facebook:react:19.1.3:*:*:*:*:*:*:*
    • cpe:2.3:a:facebook:react:19.2.2:*:*:*:*:*:*:*
  • Vercel/Next.js82 versions
    cpe:2.3:a:vercel:next.js:*:*:*:*:*:node.js:*:*+ 81 more
    • cpe:2.3:a:vercel:next.js:*:*:*:*:*:node.js:*:*range: >=13.3.0,<14.2.35
    • cpe:2.3:a:vercel:next.js:15.6.0:-:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary0:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary10:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary11:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary12:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary13:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary14:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary15:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary16:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary17:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary18:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary19:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary1:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary20:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary21:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary22:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary23:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary24:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary25:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary26:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary27:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary28:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary29:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary2:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary30:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary31:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary32:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary33:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary34:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary35:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary36:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary37:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary38:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary39:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary3:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary40:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary41:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary42:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary43:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary44:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary45:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary46:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary47:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary48:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary49:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary4:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary50:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary51:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary52:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary53:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary54:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary55:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary56:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary57:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary58:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary59:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary5:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary6:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary7:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary8:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:15.6.0:canary9:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:-:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary0:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary10:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary11:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary12:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary13:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary14:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary15:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary16:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary17:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary18:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary1:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary2:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary3:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary4:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary5:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary6:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary7:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary8:*:*:*:node.js:*:*
    • cpe:2.3:a:vercel:next.js:16.1.0:canary9:*:*:*:node.js:*:*
  • ghsa-coords3 versions
    pkg:npm/react-server-dom-parcelpkg:npm/react-server-dom-turbopackpkg:npm/react-server-dom-webpack
    >= 19.0.2, < 19.0.3+ 2 more
    • (no CPE)range: >= 19.0.2, < 19.0.3
    • (no CPE)range: >= 19.0.2, < 19.0.3
    • (no CPE)range: >= 19.0.2, < 19.0.3

Patches

Vulnerability mechanics

References

6

News mentions

0

No linked articles in our index yet.