React-2025 CTF Lab: CVE-2025-55182

Übersicht

Dieses Repository enthält eine Capture-the-Flag-Laborumgebung (CTF), die ausschließlich für Bildungszwecke und Sicherheitsforschung entwickelt wurde.

Die Umgebung enthält einen angreifbaren Next.js-16-E-Commerce-Mock-Storefront („Quantum Supplies“), der speziell dazu dient, die Ausnutzung von CVE-2025-55182 zu demonstrieren und zu üben – einer kritischen Deserialisierungsschwachstelle im React-Server-Components-Flight-Protokoll.

(Ein Link zu einer ausführlichen Notion-Anleitung und einem Exploitation-Guide wird in Kürze hier bereitgestellt.)

Repository-Struktur

• /app: Enthält den vollständigen Quellcode der angreifbaren Next.js-Webanwendung, einschließlich der Mock-Datenbank, des benutzerdefinierten Dark-Liquid-Glass-UI-Stylings und der angreifbaren Server-Aktionen.
• /documents: Enthält Logs und Fragen/Antworten, die die Anwendungsarchitektur und die Schwachstellenmechanismen beschreiben, während wir diese Laborumgebung gemeinsam mit der KI aufgebaut haben.
• /solution: Enthält eine Reihe detaillierter Analyse-Dokumente, die zur Prüfung der Anwendung verwendet wurden. Dazu gehören das finalisierte solve.py-Skript, Schritt-für-Schritt-Anleitungen für die manuelle Burp-Suite-Ausnutzung sowie tiefgehende Antworten, die die React-Flight-Payload-Struktur erläutern (solution6.md usw.).

Diesen Server starten

Die Anwendung ist für sichere Forschung vollständig per Docker containerisiert. Um den angreifbaren Server und das Mock-Backend zu starten, führen Sie die folgenden Befehle aus dem Stammverzeichnis aus:

# Build the Docker image and start the container in detached mode
sudo docker compose up -d --build

Die Anwendung ist anschließend über Ihren Browser unter http://localhost:10001 erreichbar.

Hinweis: Der Container stellt automatisch die Zieldatei /flag/flag.txt bereit, die für die CTF-Herausforderung erforderlich ist.