Sicherheitslücke in React-Server-Modulen: Keine Betroffenheit für SecSign ID Server /SecPKI Server

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Schwachstellenmeldung zu mehreren React-Server-Modulen veröffentlicht. Betroffen sind die Pakete react-server-dom-webpack, react-server-dom-parcel und react-server-dom-turbopack in den Versionen 19.0, 19.1.0, 19.1.1 und 19.2.0. Die Sicherheitslücken (BSI-ID 2025-304569-1032) ermöglichen unter bestimmten Bedingungen das Ausführen von Schadcode auf Servern, die React Server Components einsetzen.

Die Schwachstellen betreffen ausschließlich Anwendungen, die:
– React Server Components (RSC) einsetzen und
– dazu Frameworks oder Bundler wie Next.js, Webpack, Parcel oder Turbopack nutzen.

Warum wir nicht betroffen sind

Der SecSign ID Server und der SecPKI-Server nutzen keine React Server Components und verwenden keines der in der BSI-Warnung genannten Module oder Frameworks wie Next.js.

Damit sind unsere Systeme nicht von den gemeldeten Sicherheitslücken betroffen.