CVE-2025-55182 – استغلال تنفيذ الأوامر عن بعد في مكونات خادم React

⚠️ إخلاء مسؤولية: لأغراض اختبار الأمان المصرح به والبحث فقط. لا تستخدم ضد الأنظمة دون إذن صريح.

نظرة عامة

هذه نسخة محسّنة من سكربت الاستغلال لثغرة تنفيذ الأوامر عن بعد (RCE) في مكونات خادم React (CVE-2025-55182) (نسخة متعددة الأجزاء معدلة).

هذا المشروع هو نسخة معدلة من إثبات المفهوم الأصلي (PoC). نحن نقر بمساهمات الباحثين الأمنيين التاليين:

استخدم سكربت الاستغلال الأصلي requests.post(files=...) لبناء طلبات متعددة الأجزاء. ورغم سهولة هذه الطريقة، إلا أنها أدخلت مشاكل حرجة في الموثوقية:

توليد الحدود تلقائياً: تقوم مكتبة requests بتوليد حد وتضيف رأس Content-Type خاص بها تلقائياً
تحويل المحتوى: قد تقوم بتخطي أو تحويل حمولة المحتوى (مثل الاقتباسات، الأسطر الجديدة، هياكل JSON)، مما يكسر تحليل بروتوكول Flight الدقيق الذي يتوقعه الخادم
توافق البيئة: في بيئات المُحلِّل الصارم، أو الوكيل، أو WAF، يؤدي ذلك إلى طلبات مشوهة أو فشل صامت
فشل الكشف: غالباً ما يُبلغ وضع --check زوراً عن "غير معرضة" بسبب اختلافات تنسيق الحمولة

تضمن هذه النسخة التوافق والموثوقية من خلال الطرق التالية:

✅ بناء متعدد الأجزاء يدوي: مبني باستخدام البايتات الخام، مع الحفاظ على دلالات الحمولة بالضبط

✅ حدود متوافقة مع RFC: يتم إنشاؤها تلقائياً باستخدام uuid.uuid4() لإنشاء حدود صالحة

✅ Content-Type صحيح: تعيين رأس Content-Type بشكل صريح ليتطابق مع الجسم الخام

✅ لا تخطي تلقائي: الحفاظ على سلامة حقول _prefix وتلوث النماذج الأولية

✅ تطبيق متسق: تطبيق نفس منطق الأجزاء المتعددة الخام في كلتا الطريقتين:

يضمن ذلك الاتساق بين الكشف والاستغلال، مما يحسن معدلات النجاح بشكل كبير عبر مختلف نشرات Next.js.