CVE-2025-55182 Scanner

Ein Proof-of-Concept-Scanner für CVE-2025-55182, eine kritische, nicht authentifizierte Remote Code Execution (RCE)-Sicherheitslücke in React Server Components (RSC).

Übersicht

Am 3. Dezember 2025 wurde eine kritische Sicherheitslücke bekannt gegeben, die React 19.x- und Next.js-Anwendungen mit React Server Components betrifft. Der Fehler liegt in der Deserialisierungslogik des RSC-„Flight“-Protokolls und ermöglicht Angreifern die Ausführung beliebigen Codes auf dem Server über präparierte HTTP-Anfragen.

Schweregrad

Auswirkungen

• Nicht authentifizierte Remote Code Execution
• Vollständige Kompromittierung des Servers
• Ernte von Anmeldedaten aus Umgebungsvariablen
• Exfiltration von Cloud-Metadaten
• Laterale Bewegung innerhalb der Infrastruktur

Betroffene Versionen

Verwendung

Scan eines einzelnen Ziels

go run ./cmd/main.go -t https://example.com

Einzelziel mit interaktiver Shell

go run ./cmd/main.go -t https://example.com -shell

Batch-Scan aus Datei

go run ./cmd/main.go -f targets.txt -c 20

Ergebnisse exportieren

go run ./cmd/main.go -f targets.txt -json results.json -csv results.csv

Optionen

Beispielausgabe

React2Shell Scanner v1.0.0
CVE-2025-55182 | React Server Components RCE
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

[+] VULN  https://app.example.com/ 142ms
[-] SAFE  https://api.example.com/ 203ms
[!] ERROR https://internal.example.com/ (timeout) 15000ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
SCAN COMPLETE

  Targets scanned:    3
  Vulnerable:         1 (33%)
  Safe:               1
  Errors:             1

  Duration:           15.4s
  Avg response:       5115ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
VULNERABLE TARGETS

  1. https://app.example.com/

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
REMEDIATION

  Upgrade to patched versions:

  Next.js:
    15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

  react-server-dom:
    19.0.1, 19.1.2, 19.2.1

Technische Details

Die Sicherheitslücke besteht in der Handhabung serialisierter Payloads durch das RSC-„Flight“-Protokoll. Bei der Verarbeitung speziell präparierter Multipart-Formulardaten validiert der Server die Payload-Struktur nicht ordnungsgemäß, was eine Prototypverschmutzung ermöglicht, die zur Ausführung beliebigen Codes führt.

Angriffsvektor

1. Angreifer sendet fehlerhafte RSC-Payload per POST-Anfrage
2. Server deserialisiert Payload ohne ordnungsgemäße Validierung
3. Prototypverschmutzung ermöglicht Zugriff auf Konstruktor
4. Beliebiges JavaScript wird im Node.js-Kontext ausgeführt
5. Befehlsausgabe wird über Redirect-Header exfiltriert

Erkennung

Achten Sie auf POST-Anfragen mit:

• Next-Action-Header
• Multipart-Formulardaten mit __proto__-Referenzen
• Ungewöhnliche X-Action-Redirect-Antworten

Behebung

1. Sofortmaßnahme: Aktualisieren Sie auf die oben aufgeführten gepatchten Versionen
2. WAF-Regeln: Blockieren Sie Anfragen mit __proto__ im Body
3. Überwachung: Alarmieren Sie bei verdächtigen Next-Action-Header-Mustern
4. Netzwerk: Beschränken Sie ausgehende Verbindungen von Next.js-Servern

Haftungsausschluss

NUR FÜR DEN INTERNEN GEBRAUCH

Dieses Tool ist ausschließlich für autorisierte Sicherheitstests bestimmt. Verwenden Sie es nur gegen Systeme, die Ihnen gehören oder für die Sie ausdrückliche Testberechtigung haben. Unautorisierter Zugriff auf Computersysteme ist illegal.

Referenzen

• Wiz Research Advisory
• React Security Bulletin
• Vercel Advisory

Lizenz

Nur für den internen Gebrauch. Nicht zur Weitergabe.