CVE-2025-55182 - React RSC RCE

PoC für die Deserialisierungsschwachstelle im Flight-Protokoll von React Server Components.

Was ist das?

Next.js 14+ und React 19 verwenden ein proprietäres Protokoll ("Flight") zur Kommunikation zwischen Client und Server. Das Problem: Der Server lädt beliebige Module ohne Überprüfung. Dadurch kann man ihn child_process ausführen lassen und zack, RCE.

Verwendung

python CVE-2025-55182.py -t <IP> -p <PORT> --cmd "id"

Betroffene Versionen

• Next.js < 14.2.21
• Next.js < 15.1.2
• React < 19.2.1

Behebung

Aktualisiere deine Abhängigkeiten. Das war's.

Haftungsausschluss

Nur auf Systemen verwenden, die dir gehören oder mit schriftlicher Genehmigung. Ich bin nicht verantwortlich, wenn du Unsinn machst.