Op 3 december 2025 is een kritieke kwetsbaarheid in React Server Components (RSC) publiek geworden. In plain Dutch: als je een kwetsbare setup draait, kan een aanvaller zonder in te loggen (ongeauthenticeerd) code op jouw server laten uitvoeren (Remote Code Execution / RCE). De kwetsbaarheid is geregistreerd als CVE-2025-55182. (Een CVE is gewoon een unieke “bug-ID” voor securitylekken.) React en Next.js waarderen dit als CVSS 10.0: dat is de maximale ernstscore (0–10) en staat grofweg voor “patch nu”. Belangrijk: dit gaat niet om “React in de browser”, maar om server-side use-cases (RSC/App Router).