CVE-2025-55182 – React2Shell RCE GUI

أداة واجهة رسومية حديثة ذات طابع نيون لاختبار أمان React2Shell (CVE-2025-55182) على مكونات خادم React / تطبيقات Next.js.
مبنية باستخدام Python + CustomTkinter، تتيح لك:

• التحقق مما إذا كانت نقطة نهاية محددة قابلة للاستغلال بواسطة React2Shell
• تشغيل أوامر الصدفة على الأهداف المؤكدة القابلة للاستغلال (للتحقق الجنائي والتحقق)
• عرض مخرجات وحدة التحكم الحية المختومة بزمن في واجهة نظيفة

⚠️ هذه أداة بحث أمني وفريق أزرق، وليست ماسحًا جماعيًا.
استخدمها فقط على الأنظمة التي تملكها أو المخول لك اختبارها بشكل صريح.

---

⚠️ إخلاء المسؤولية القانوني والأخلاقي

يُقدَّم هذا المشروع لأغراض تعليمية ودفاعية وبحثية فقط.

• لا تستخدم هذه الأداة ضد أهداف لا تملكها أو بدون إذن كتابي مناسب.
• الاستغلال غير المصرح به للأنظمة غير قانوني في معظم الدول.
• المؤلفون لا يتحملون أي مسؤولية عن أي سوء استخدام أو ضرر أو قضايا قانونية ناتجة عن هذه الأداة.
• باستخدامك لهذا المستودع، فإنك توافق على أنك المسؤول الوحيد عن أفعالك.

إذا لم تكن متأكدًا مما إذا كان مسموحًا لك اختبار نظام، توقف فورًا.

---

ما هو React2Shell (CVE-2025-55182)؟

React2Shell (CVE-2025-55182) هي ثغرة تنفيذ أوامر عن بُعد غير موثَّق (RCE) حرجة في مكونات خادم React (RSC) والأطر التي تطبق بروتوكول Flight، وأبرزها Next.js.

النقاط الرئيسية:

• درجة CVSS: 10.0 (حرجة)
• تؤثر على الاستخدام من جانب الخادم لـ React 19 / RSC وأطر مثل Next.js App Router
• يتطلب الاستغلال فقط طلب HTTP مصاغًا إلى نقطة نهاية دالة خادم
• تسمح للمهاجم بتنفيذ أوامر JavaScript عشوائية وأوامر على مستوى نظام التشغيل على الخادم في التكوينات الافتراضية

للاطلاع على التحليلات التقنية المفصلة، انظر:

• إعلان React2Shell والبحث الأصلي
• منشورات مدونة من بائعي أمان رئيسيين (Wiz، AWS، Datadog، إلخ)
• نماذج الإثبات (PoCs) والتحليلات المجتمعية

---

الميزات

• 🖥 واجهة رسومية حديثة

  • سمة نيون داكنة مع لوحة جانبية، شارات حالة، ووحدة تحكم حية
  • مبنية باستخدام CustomTkinter (Python)

• 🔍 ماسح الهدف

  • أدخل URL هدف واحد (نقطة نهاية إجراء خادم RSC / Next.js)
  • زر "SCAN TARGET" بنقرة واحدة
  • حالة واضحة:
    • Vulnerable – يبدو قابلاً للاستغلال عبر React2Shell
    • Appears safe – لم يُلاحظ نمط الاستغلال
    • رسائل خطأ لمشاكل المهلة / الاتصال

• 💣 تنفيذ الأوامر (للأنظمة المؤكدة القابلة للاستغلال)

  • مربع إدخال الأمر مع زر "RUN"
  • يُفعَّل فقط بعد نجاح فحص الثغرة
  • يتم عرض المخرجات في وحدة تحكم مختومة بزمن

• ⚡ أوامر سريعة

  • أزرار بنقرة واحدة لأوامر التحقق الجنائي الشائعة (مثل whoami و hostname و id وغيرها)
  • مفيدة للتحقق السريع والفرز الأساسي على أنظمة الاختبار

• 🧾 تسجيل مفصل

  • سطور سجل مختومة بزمن: [HH:MM:SS] [LEVEL] message
  • بدء الفحص / الانتهاء، القرارات، ومخرجات الأوامر جميعها مرئية

---