React2Shell (CVE-2025-55182) — Lokale RSC-Sicherheitsdemo

⚠️ WARNUNG Dieses Repository dient ausschließlich der Bildung und der defensiven Sicherheitsforschung.

Führen Sie diesen Code NICHT gegen Folgendes aus:

• Produktionssysteme
• Öffentliche Websites
• Server, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Genehmigung zum Testen haben

Unbefugte Ausnutzung von Sicherheitslücken kann illegal sein.

---

📌 Übersicht

Dieses Repository demonstriert die realen Auswirkungen von React2Shell (CVE-2025-55182) — einer kritischen Remote-Code-Execution-Schwachstelle (RCE), die React Server Components (RSC) und Frameworks wie Next.js betrifft.

Die Demo zeigt, wie unsichere Deserialisierung in anfälligen Umgebungen zu Folgendem führen kann:

• Serverseitige Codeausführung
• Dateisystemzugriff
• Verzeichnis-Enumeration

Alle Tests wurden lokal in einer kontrollierten Umgebung durchgeführt.

---

🧪 Demo-Szenarien

Das Demo-Skript enthält drei isolierte Beispiele:

1. Minimaler RCE-Nachweis

   • Protokolliert eine Nachricht aus der serverseitigen Ausführung

2. Dateisystem-Schreibzugriff

   • Erstellt eine Datei im Arbeitsverzeichnis des Servers

3. Verzeichnis-Enumeration

   • Listet Dateien aus dem Verzeichnis des Serverprozesses auf

Diese Beispiele sind bewusst einfach gehalten, um die Auswirkungen hervorzuheben, nicht die Ausnutzung.

---

🔧 High-Level-Schritte der Simulation (Nur lokal)

1. Erstellen Sie eine lokale Next.js-Testanwendung
2. Führen Sie sie in einer kontrollierten Entwicklungsumgebung aus
3. Stellen Sie sicher, dass die Umgebung eine anfällige Konfiguration widerspiegelt
4. Führen Sie das Demo-Skript im Kontext eines Browsers aus
5. Beobachten Sie serverseitige Protokolle und Dateisystemänderungen

⚠️ Keine öffentliche Bereitstellung ist erforderlich oder empfohlen.

---

🛡️ Empfehlungen zur Abschwächung

Wenn Sie React Server Components verwenden:

• Aktualisieren Sie React und Next.js sofort auf gepatchte Versionen
• Überprüfen Sie Server Actions und RSC-Grenzen
• Behandeln Sie Serialisierung/Deserialisierung als Oberfläche mit hohem Risiko
• Überwachen Sie Serverprotokolle auf anomale RSC-Payloads

---

📚 Referenzen

• Offizielle React2Shell-Website: https://react2shell.com/
• React-Sicherheitshinweis:
  https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
• Originalforschung & PoC:
  https://github.com/lachlan2k/React2Shell-CVE-2025-55182-original-poc

---

⚖️ Rechtlicher & ethischer Hinweis

Dieses Projekt soll das Bewusstsein schärfen und Entwicklern helfen, den Schweregrad von RCE-Schwachstellen zu verstehen.

Der Autor ist nicht verantwortlich für den Missbrauch dieses Codes.