⚡ React2Shell

CVE-2025-55182 / CVE-2025-66478 - Async-RCE-Scanner

Prototype-Pollution → Remote Code Execution über React Server Actions

Async, zuerst Version, dann ausgabebasierte Canary-Erkennung - kein blindes Raten

[!WARNING] Nur für autorisierte Sicherheitsforschung und Penetrationstests. Das Scannen von Systemen ohne ausdrückliche schriftliche Genehmigung ist illegal. Der Autor übernimmt keine Verantwortung für Missbrauch dieses Tools.

Überblick über die Schwachstelle

React Server Actions übergeben Aktionsdaten als Multipart-Formulardaten direkt an einen serverseitigen Ausführungskontext. Aufgrund unzureichender Prototype-Pollution-Bereinigung in betroffenen Versionen von react-server-dom-webpack kann ein Angreifer:

Ein manipuliertes Multipart-Payload injizieren, das Object.prototype verschmutzt
_response._prefix am internen Response-Objekt überschreiben
Den Server zwingen, beliebige Shell-Befehle über den folgenden Code auszuführen:
```
process.mainModule.require('child_process').execSync(cmd)
```

Dies ermöglicht nicht authentifizierte Remote Code Execution auf jeder öffentlich erreichbaren Next.js-Anwendung, die React Server Actions mit einer betroffenen React-Version verwendet.

CVE-2025-55182 - Breit: betrifft React-19-Pakete (react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack)
CVE-2025-66478 - Eingeschränkt: Next.js-spezifischer Ausnutzungspfad über den Server-Action-Endpunkt /

Betroffene Versionen

Komponente	Verwundbar	Gepatcht
React `react-server-dom-*`	`19.0.0`, `19.1.0`, `19.1.1`, `19.2.0`	`19.0.1`, `19.1.2`, `19.2.1+`
Next.js 16.x	`16.0.0` – `16.0.6`	`16.0.7+`
Next.js 15.x	`15.0.0-15.0.4`, `15.1.0-15.1.8`, `15.2.0-15.2.5`, `15.3.0-15.3.5`, `15.4.0-15.4.7`, `15.5.0-15.5.6`	`15.0.5+`, `15.1.9+`, `15.2.6+`, `15.3.6+`, `15.4.8+`, `15.5.7+`
Next.js 14.x	`14.3.0-canary.77+` nur Canary-Builds	Alle stabilen 14.x - NICHT betroffen
Next.js 13.x	-	NICHT betroffen

So funktioniert die Erkennung

Dieser Scanner verwendet die ausgabebasierte Canary-Verifizierung - die zuverlässigste Methode, um echte Codeausführung ohne falsch-positive Ergebnisse zu bestätigen:

1.  POST /  with Next-Action header + multipart prototype-pollution payload
2.  Payload executes:  echo <random_canary>
3.  Vulnerable server throws NEXT_REDIRECT with base64(canary) in the URL
4.  Response header:   X-Action-Redirect: /login?a=<base64(canary)>
5.  Scanner decodes base64 → matches canary → RCE confirmed ✓

allow_redirects=False ist entscheidend - die Bestätigung befindet sich im Header, nicht im Ziel der Weiterleitung.

Installation

git clone https://github.com/InferiorAK/React2Shell
cd React2Shell

pip install -r requirements.txt

# Required only if using --browser mode for improved version detection:
playwright install chromium
playwright install-deps chromium

Anforderungen: Python 3.10+

Verwendung

CVE-2025-55182-Scanner - Breit (React + Next.js)

# Single target
python3 CVE-2025-55182_scanner.py -u https://target.com

# Scan a list of URLs
python3 CVE-2025-55182_scanner.py -f urls.txt

# Quiet mode - only print RCE / Vulnerable results
python3 CVE-2025-55182_scanner.py -f urls.txt -q

# Browser mode - headless Chromium for accurate version detection
python3 CVE-2025-55182_scanner.py -f urls.txt -b

# Full options - recommended for large-scale scanning
python3 CVE-2025-55182_scanner.py -f urls.txt -b -q -c 3 -t 20

Optionen-Referenz

CVE-2025-55182-Scanner

Flag	Langform	Standard	Beschreibung
`-u`	`--url`	-	Einzelne Ziel-URL
`-f`	`--file`	-	Datei mit einer URL pro Zeile
`-o`	`--output`	`outputs/vuln.txt`	Ausgabedatei für verwundbare Ziele
`-U`	`--unknown-output`	`outputs/unknown.txt`	Ausgabedatei für Ziele mit unbekannter Version
`-c`	`--concurrency`	`5`	Parallele HTTP-Verbindungen
`-t`	`--timeout`	`15`	Timeout pro Anfrage (Sekunden)
`-q`	`--quiet`	aus	Nur `RCE`- / `VULNERABLE`-Zeilen ausgeben
`-b`	`--browser`	aus	Playwright-Headless-Chromium-Fallback zur Versionserkennung

Ausgabe & Bewertungen

Jedem gescannten Ziel wird eine der folgenden Bewertungen zugewiesen:

Bewertung	Farbe	Bedeutung
`RCE`	🔴 Rot	Canary in `X-Action-Redirect` bestätigt - bewiesene Remote Code Execution
`VULNERABLE`	🟠 Orange	Version liegt im verwundbaren Bereich; das RCE-Payload wurde nicht zurückgespiegelt (WAF / gepatchte Konfiguration / falscher Endpunkt)
`Unknown`	🟡 Gelb	Next.js bestätigt, aber die Version konnte nicht erkannt werden - RCE wurde trotzdem versucht; für einen erneuten Versuch im Browser-Modus in `outputs/unknown.txt` gespeichert
`Not Vulnerable`	🟢 Grün	Version als gepatcht bestätigt oder RCE explizit als sicher zurückgegeben
`Skipped`	⚪ Weiß	Bestätigt gepatchte Version oder keine Next.js-Website - kein PoC versucht
`Error`	⚪ Weiß	Host nicht erreichbar oder Verbindung fehlgeschlagen

Ausgabedateien (werden im Ordner outputs/ gespeichert, der automatisch erstellt wird):

outputs/vuln.txt - RCE- und VULNERABLE-Ergebnisse (werden bei jedem Lauf angehängt)
outputs/unknown.txt - Ziele mit Unknown-Version; diese mit -b erneut prüfen, um die Version genau zu erkennen

Browser-Modus

Warum wird die Version bei über 90 % der Websites als unknown angezeigt?

Modernes Next.js 13+ mit App-Router-Architektur bettet die Framework-Version niemals in statisches HTML ein. Die Version existiert nur in window.next.version, nachdem JavaScript in einem echten Browserkontext ausgeführt wurde.

Ohne --browser:

Die Versionserkennung stützt sich auf HTTP-Header, __NEXT_DATA__, Inline-Skripte und gehashte Chunk-Dateien
App-Router-Websites liefern fast immer unknown zurück - die versionsbasierte Filterung wird umgangen

Mit --browser (-b):

Playwright startet Headless-Chromium
Das JavaScript der Seite wird vollständig ausgeführt
Der Scanner liest window.next.version direkt aus dem Live-DOM
Die Versionsgenauigkeit steigt bei modernen Next.js-Websites von ~10 % auf nahezu 100 %

Beliebteste

CVE-2025-55182-React2Shell-Async-Scanner