R2S - React2Shell Scanner

Ein webbasierter Schwachstellenscanner für CVE-2025-55182, eine kritische Remote-Code-Ausführung (RCE) Sicherheitslücke in React Server Components.

Live-Scanner: https://r2s.mxm0z.com

Über CVE-2025-55182

CVE-2025-55182 ist eine kritische (CVSS 10.0) Sicherheitslücke im React Server Components Flight-Protokoll, die es nicht authentifizierten Angreifern ermöglicht, über manipulierte HTTP-Anfragen beliebigen Code auf anfälligen Next.js-Servern auszuführen.

Betroffene Versionen

Paket	Anfällig	Behoben
React	19.0.0	19.0.1
React	19.1.0 - 19.1.1	19.1.2
React	19.2.0	19.2.1
Next.js	15.0.0 - 15.0.4	15.0.5
Next.js	15.1.0 - 15.1.8	15.1.9
Next.js	15.2.0 - 15.2.5	15.2.6
Next.js	15.3.0 - 15.3.5	15.3.6
Next.js	15.4.0 - 15.4.7	15.4.8
Next.js	15.5.0 - 15.5.6	15.5.7
Next.js	16.0.0 - 16.0.6	16.0.7

Wie es funktioniert

Dieser Scanner sendet eine sichere Erkennungs-Nutzlast an die Ziel-URL. Die Nutzlast verwendet "_prefix":"1", was einfach zu der Zahl 1 ausgewertet wird – sie führt keinen Code auf dem Zielserver aus.

Erkennungslogik

Antwort	Interpretation

Selbst bereitstellen

Voraussetzungen

Cloudflare-Konto (kostenlose Stufe funktioniert)
Node.js 18+
Wrangler CLI

Einrichtung

# Repository klonen
git clone https://github.com/mxm0z/r2s.git
cd r2s

# Abhängigkeiten installieren
npm install

# Lokal ausführen
npm run dev

# Auf Cloudflare Pages bereitstellen
npm run deploy

Benutzerdefinierte Domain (Optional)

Fügen Sie Ihre Domain zu Cloudflare hinzu
Gehen Sie zu Cloudflare Pages > Ihr Projekt > Benutzerdefinierte Domains
Fügen Sie Ihre Subdomain hinzu (z.B. scanner.ihredomain.com)

Projektstruktur

r2s/
├── public/
│   ├── index.html      # Main page
│   ├── style.css       # Styling
│   ├── app.js          # Frontend logic
│   └── _worker.js      # Cloudflare Worker (scanner API)
├── wrangler.toml       # Cloudflare configuration
└── package.json

API

POST /api/scan

Scannen Sie eine Ziel-URL auf CVE-2025-55182.

Anfrage:

{
  "targetUrl": "https://example.com"
}

Antwort:

{
  "target": "https://example.com",
  "timestamp": "2025-01-15T12:00:00.000Z",
  "status": "not_vulnerable",
  "message": "NOT VULNERABLE",
  "httpStatus": "404 Not Found",
  "responsePreview": "...",
  "confidence": "high"
}

Haftungsausschluss

Dieses Tool wird ausschließlich für autorisierte Sicherheitstests bereitgestellt. Scannen Sie nur Anwendungen, für deren Test Sie ausdrücklich die Erlaubnis haben. Die Autoren sind nicht verantwortlich für Missbrauch dieses Tools.

Danksagungen

Originalforschung: Lachlan Davidson
React-Sicherheitshinweis: GHSA-fv66-9v8q-g76r
Next.js-Sicherheitshinweis: GHSA-9qr9-h5gf-34mp

Lizenz

MIT

r2s

Beliebteste