CVE-2025-55182

Verwundbare Anwendung

Build und Start:

docker compose build
docker compose run --rm --entrypoint 'npm install' node
docker compose run --rm --entrypoint 'npm run build' node
docker compose up

POC (von https://github.com/msanft/CVE-2025-55182):

node poc.js

Experimentieren mit unbundled:

yarn --immutable

node --conditions react-server app.js

CodeQL

Klone facebook/react und erstelle unbundled:

yarn --immutable

yarn cross-env RELEASE_CHANNEL=experimental node ./scripts/rollup/build.js react-server-dom-webpack/ --type=NODE_DEV

cp ./build/node_modules/react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.unbundled.development.js \
    codeql/${version}/

CodeQL vorbereiten:

codeql database create db -l javascript -s codeql

cd queries && codeql pack install

codeql query run ./queries/PrototypeTraversal.ql -d db

TODO

• Eine Abfrage hinzufügen, um Promise.resolve(userData) zu finden
  • sollte alle asynchronen Funktionen finden, die mit einem benutzerdefinierten Objekt aufgelöst werden
  • dies ist die unmittelbare Stelle der Codeausführungsprobleme
• Eine Abfrage hinzufügen, um await non-native-promise zu finden
  • sollte alle await-Aufrufe von Funktionen finden, die kein natives Promise zurückgeben
  • ein Aufrufer könnte fälschlicherweise await auf eine Methode anwenden, die (manchmal) Rohdaten zurückgibt

Ergebnisse

Es hat die gepatchte Verwendung in getOutlinedModel (hinzugefügt hasOwnProperty.call) und die entfernte in createModelResolver (jetzt fulfillReference) erkannt.

Ich weiß nicht, warum die erste und die zweite auf dieselbe Stelle zeigen, die extrahierte in vuln.js jedoch nicht.

Beispiele

In codeql/tests.js gibt es diese drei Varianten:

var value = {};
for (let i = 0; i < path.length; i++) {
  value = value[path[i]] // VarAccess
}

var value = {};
for (let i = 0; i < path.length; i++) {
  let c = value[path[i]] // VarDecl
  value = c
}

var value = {};
for (let i = 0; i < path.length; i++) {
  let c
  c = value[path[i]] // use VarRef
  value = c
}

Referenz: https://codeql.github.com/docs/codeql-language-guides/abstract-syntax-tree-classes-for-working-with-javascript-and-typescript-programs/