CVE-2025-55182 — React2Shell

CVSS 10.0 CRITICAL | تنفيذ التعليمات البرمجية عن بُعد بدون مصادقة في مكونات خادم React

اكتُشفت بواسطة جهات تهديد صينية. يُستغل بنشاط من قبل مجموعات APT مرتبطة بالصين.

نظرة عامة

سُميت "React2Shell"، تُمكّن هذه الثغرة من تنفيذ التعليمات البرمجية عن بُعد بدون مصادقة عبر إلغاء التسلسل غير الآمن في بروتوكول "Flight" لمكونات خادم React (RSC). الاستغلال تافه ولا يتطلب أي مصادقة.

التفاصيل التقنية

يقوم بروتوكول RSC Flight بإلغاء تسلسل بيانات غير موثوقة دون تحقق، مما يندرج تحت CWE-502 (إلغاء تسلسل البيانات غير الموثوقة). يقوم المهاجمون بصياغة حمولة متسلسلة خبيثة، وعند معالجتها من قبل الخادم، تؤدي إلى اختراق حل الوحدات — توجيه استيرادات الوحدات إلى كود يتحكم به المهاجم ويتم تنفيذه في بيئة تشغيل الخادم.

الإصدارات المتأثرة

خطوات إعادة الإنتاج

1. تحديد هدف يعمل بإصدار ضعيف من React/Next.js مع نقطة نهاية RSC مكشوفة (مثل /_rsc/، /_flight/، أو نقاط نهاية إجراءات خادم Next.js).
2. إرسال طلب HTTP POST مصمم يحتوي على الحمولة المتسلسلة الخبيثة إلى نقطة نهاية RSC.
3. يقوم الخادم بإلغاء تسلسل الحمولة، مما يؤدي إلى حل استيراد وحدة إلى كود يتحكم به المهاجم.
4. يتم تحقيق تنفيذ التعليمات البرمجية — تشغيل شل، استخراج البيانات، أو نشر حمولات إضافية.

إثبات المفهوم

python exploit.py --target https://example.com --port 443 --command "id"

التخفيف

قم بالترقية فوراً:

• React: >= 19.0.1، >= 19.1.2، أو >= 19.2.1
• Next.js: طبق تصحيح البائع الخاص بإصدارك

لا توجد حلول بديلة؛ الترقية هي الإجراء الوحيد للعلاج.

المراجع

• NIST NVD: قيد الانتظار
• سجل CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-55182
• تنبيه أمان React: قيد الانتظار
• OWASP CWE-502: https://cwe.mitre.org/data/definitions/502.html