React2Shell PoC (CVE-2025-55182)

نص برمجي لإثبات المفهوم (PoC) لـ React2Shell (CVE-2025-55182)، وهي ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) حرجة تؤثر على تطبيقات Next.js التي تستخدم إجراءات الخادم.

[!WARNING] إخلاء مسؤولية: هذه الأداة مخصصة لأغراض تعليمية واختبارات مصرح بها فقط. لست مسؤولاً عن أي إساءة استخدام.

الوصف

يستغل هذا النص البرمجي ثغرة إلغاء تسلسل غير آمن في بروتوكول "Flight" لمكونات الخادم في React. يسمح للمهاجمين غير المصادق عليهم بتنفيذ تعليمات برمجية جافاسكريبت عشوائية على الخادم، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد (RCE) جزئي.

الميزات

• حمولة قوية: يستخدم فحص توافق للعثور على require (global.require أو عبر منشئ الوحدة)، مما يضمن عمله على إصدارات Node.js الحديثة (v14+).
• تكوين ديناميكي: تحديد عنوان URL الهدف والأمر عبر أعلام سطر الأوامر.
• معالجة الأخطاء: معالجة لطيفة لأخطاء الاتصال.

التثبيت

1. استنساخ المستودع.
2. تثبيت التبعيات:

pip install -r requirements.txt

الاستخدام

python3 react2shell.py -u <TARGET_URL> [-c <COMMAND>]

أمثلة

التحقق من هوية المستخدم:

python3 react2shell.py -u http://127.0.0.1:3000/

سرد محتويات الدليل:

python3 react2shell.py -u http://127.0.0.1:3000/ -c "ls -la"

قراءة ملف حساس:

python3 react2shell.py -u http://127.0.0.1:3000/ -c "cat /etc/passwd"

التحليل الفني

يستغل الثغرة سلسلة من تلوث النموذج الأولي (Prototype Pollution) وإلغاء تسلسل غير آمن (Insecure Deserialization) داخل معالجة إجراءات الخادم في Next.js لمكونات خادم React (RSC).

1. نقطة الدخول: يشير رأس Next-Action إلى الخادم لمعالجة إجراء خادم.
2. تلوث النموذج الأولي: تقوم الحمولة JSON بحقن خاصية then ضارة ("$1:__proto__:then"). هذا يخدع معالج الطلبات غير المتزامن للخادم لاعتبار الحمولة ككائن "Thenable" (يشبه الكائن Promise).
3. حقن التعليمات البرمجية: عندما يحاول الخادم حل هذا الكائن الوعد المزيف، يقوم بمعالجة كائن _response. حقل _prefix يُستخدم عادةً للتخزين المؤقت للتيار الداخلي، ولكن من خلال التلاعب به، يمكننا حقن كود جافاسكريبت خام.
4. تجاوز الصندوق الرملي: في بيئات Next.js/Webpack الحديثة، غالبًا ما يتم إزالة دالة require من النطاق العام لمنع RCE. يتجاوز النص البرمجي ذلك عن طريق اجتياز سلسلة النموذج الأولي لـ process.mainModule:
   root@kitploit:~

   var require = global.require || global.process.mainModule.constructor._load;
   

   يؤدي ذلك إلى استرجاع محمل الوحدات الداخلي، مما يسمح لنا باستيراد child_process وتنفيذ أوامر النظام.
5. التنفيذ والتسريب: يعمل الكود المحقون بشكل متزامن (execSync)، ويتم إلقاء المخرجات ككائن خطأ. يتم تسلسل هذا الخطأ وإعادته إلى العميل في نص استجابة HTTP، مما يسمح لنا برؤية مخرجات الأمر.

الإقرارات

تم تطوير هذه الأداة بمساعدة Gemini 3 Pro.