
حمولة CVE-2025-55182
سكربت استغلال RCE جماعي معدّل لـ CVE-2025-55182 (React2Shell) يستهدف تطبيقات Next.js.
هذه الأداة هي تعديل لسكربت إثبات المفهوم الأصلي من إعداد pax-k. بينما يستهدف السكربت الأصلي مضيفًا واحدًا، تم تحسين هذا الإصدار لدعم الفحص الجماعي من قائمة عناوين URL، مع أتمتة حقن الحمولة، وتنفيذ الأوامر، وتحليل المخرجات لتقييم الثغرات بكفاءة.
list.txt).curl وopenssl وأدوات bash القياسية.تقدير كبير للباحثين والفرق الأمنية الذين اكتشفوا هذه الثغرة:
تأكد من امتلاكك لبيئة لينكس (Kali Linux، Ubuntu، إلخ) مع تثبيت ما يلي:
bashcurlopensslgrep وcutاستنسخ السكربت أو حمّله.
اجعل السكربت قابلاً للتنفيذ:
chmod +x mass-pwn.sh
أنشئ ملفًا نصيًا (مثل list.txt) وأضف عناوين URL المستهدفة سطرًا بسطر. تأكد من تضمين البروتوكول (http:// أو https://).
nano list.txt
Format:
Plaintext
[https://target-one.com](https://target-one.com)
[http://vulnerable-site.net](http://vulnerable-site.net)
[https://testing.corp.local:3000](https://testing.corp.local:3000)
2. Run the Exploit
Run the script by providing the target list file and the command you want to execute.
Syntax:
Bash
./mass-pwn.sh <list_file> "<command>"
Examples:
Check current user on all targets:
Bash
./mass-pwn.sh list.txt "whoami"
Check hostname:
Bash
./mass-pwn.sh list.txt "hostname"
Attempt to read system files (if vulnerable):
Bash
./mass-pwn.sh list.txt "cat /etc/passwd"
⚠️ Legal Disclaimer
FOR EDUCATIONAL PURPOSES ONLY.
This tool is developed and distributed solely for security research, authorized penetration testing, and educational purposes.
No Liability: The author and contributors are NOT responsible for any damage, data loss, server compromise, or legal issues caused by the misuse of this tool.
No Unauthorized Use: Do not use this tool against systems, networks, or applications that you do not own or do not have explicit, written permission to test.
Legal Consequences: Unauthorized access to computer systems is illegal and punishable by law. You are solely responsible for your actions and any legal consequences that may arise.
By using this script, you agree that you understand these terms and will not use this tool for malicious purposes.