أداة استغلال CVE-2025-55182 (إصدار Rust)

نظرة عامة على المشروع

هذا المشروع عبارة عن أداة بحث أمني مطورة بلغة Rust، تستهدف ثغرة تنفيذ التعليمات البرمجية عن بُعد (RCE) الموجودة في [email protected]. تسمح هذه الثغرة للمهاجم بتنفيذ تعليمات برمجية عشوائية على الخادم المستهدف دون مصادقة، وذلك من خلال إنشاء طلبات Server Action خبيثة.

الميزات الأساسية

توفر الأداة عدة طرق للاستغلال:

• تنفيذ الأوامر: تنفيذ أوامر Shell عشوائية على الخادم المستهدف عبر وحدة vm أو وحدة child_process.
• قراءة الملفات: قراءة الملفات الحساسة على الخادم باستخدام وحدة fs.
• تنفيذ JavaScript: تنفيذ أي كود JavaScript مباشرة على جانب الخادم.
• Shell تفاعلية: توفير واجهة تفاعلية تشبه الطرفية لتسهيل العمليات المستمرة.
• اختبار الثغرة: اختبار تلقائي للتحقق مما إذا كان الهدف معرضًا لهذه الثغرة.

التنفيذ التقني

تقوم الأداة بإنشاء طلبات multipart/form-data خاصة، مستغلة آلية Action في React Server Components، لحقن حمولة خبيثة (Payload) في حقل $ACTION_0:0. تحدد الحمولة وحدة Node.js المدمجة التي سيتم استدعاؤها (مثل vm#runInThisContext)، وبالتالي تجاوز القيود الأمنية لتنفيذ تعليمات برمجية عشوائية.

إخلاء المسؤولية (الصينية)

إخلاء المسؤولية (Disclaimer)

هذا المشروع مخصص فقط لأغراض البحث الأمني في الشبكات، وتحليل الثغرات، والتعلم، بهدف مساعدة المستخدمين على فهم المبادئ التقنية ذات الصلة، وزيادة الوعي الأمني، وتعزيز القدرات الدفاعية.

قبل استخدام هذا المشروع، يرجى قراءة الشروط التالية بعناية والموافقة عليها:

يُحظر استخدام هذا المشروع في أي أعمال غير قانونية مثل الاختراق أو الهجوم أو التسلل أو المسح أو الاستغلال دون إذن.

يجب على المستخدم التأكد من حصوله على تفويض صريح من مالك النظام المستهدف قبل إجراء أي اختبار.

لا يتحمل المطور أي مسؤولية عن أي خسائر مباشرة أو غير مباشرة، أو مسؤوليات قانونية أو جنائية، أو تلف في البيانات، أو انقطاع في الخدمات ناتجة عن استخدام هذا المشروع.