Next.js RSC RCE Exploit Tool (CVE-2025-55182)

مقدمة المشروع

CVE-2025-55182 عبارة عن ثغرة عالية الخطورة في سلسلة معالجة مكونات الخادم (RSC) في Next.js، حيث يمكن للمهاجم من خلال إنشاء طلبات multipart/form-data خاصة وكتل استجابة RSC مزيفة، دفع الخادم لتنفيذ كود JavaScript عشوائي، وفي النهاية تحقيق تنفيذ أوامر عن بُعد عبر process.mainModule.require('child_process').

يغلف هذا المشروع سلسلة استغلال الثغرة في أداة سطح مكتب رسومية، مما يقلل من تكلفة التحقق للباحثين الأمنيين في بيئات الاختبار المصرح بها، ويتضمن:

• كشف تلقائي عبر المجسات الحسابية
• تنفيذ أوامر متزامن/غير متزامن (مع/بدون إظهار الناتج)
• تنفيذ كود JS عشوائي
• قراءة وكتابة الملفات عن بُعد وسرد محتويات الدلائل
• تحميل وحدات Node بشكل ديناميكي
• تشويش متعدد للحمولات عبر Unicode / UTF-16 / AES لتجاوز اكتشاف WAF الشائع
• دعم بروكسي HTTP / HTTPS / SOCKS5

البدء السريع

1. استنساخ المستودع

git clone <repo-url> Nextjs_Exploit_Tool
cd Nextjs_Exploit_Tool

2. بناء الحزمة الإنتاجية

wails build

توجد مخرجات البناء في build/bin/:

• macOS: NextjsExploitTool.app
• Windows: NextjsExploitTool.exe
• Linux: NextjsExploitTool

3. البناء المتقاطع

# Windows（从 macOS/Linux 交叉编译）
GOOS=windows wails build

# Linux（从 macOS 交叉编译，需要 mingw-w64）
GOOS=linux wails build

قبل البناء المتقاطع يجب إعداد سلسلة أدوات C للمنصة المقابلة، راجع وثائق Wails.

عرض الواجهة الرئيسية

المشروع المرجعي

https://github.com/pyroxenites/Nextjs_RCE_Exploit_Tool

إخلاء المسؤولية

هذا المشروع مخصص فقط لـالاختبارات الأمنية المصرح بها والبحث الأمني والعرض التعليمي. يجب على المستخدمين الالتزام بالقوانين واللوائح المحلية، والتأكد من الحصول على تفويض كتابي صريح من مالك النظام المستهدف.

• لا يجوز استخدامه ضد أي أهداف حقيقية غير مصرح بها
• لا يجوز استخدامه لتدمير أو اختراق أو التأثير على توفر أنظمة الآخرين
• لا يتحمل المؤلف أي مسؤولية عن أي عواقب ناتجة عن إساءة استخدام هذه الأداة

باستخدام هذه الأداة فإنك تقر بأنك قد قرأت ووافقت على الشروط أعلاه. إذا لم تكن متأكدًا من قانونية تصرفك، فلا تستخدمها.

الترخيص

هذا المشروع مخصص لأغراض البحث والاختبار المصرح به فقط.