React2Shell Exploit

Proof of Concept (PoC) für React Server Components (RSC) / Next.js Remote Code Execution-Schwachstelle.

Beschreibung

Eine vor der Authentifizierung ausnutzbare Schwachstelle zur Remote-Code-Ausführung besteht in React Server Components Versionen 19.0.0, 19.1.0, 19.1.1 und 19.2.0, einschließlich der folgenden Pakete: react-server-dom-parcel, react-server-dom-turbopack und react-server-dom-webpack. Der anfällige Code deserialisiert unsicher Nutzdaten aus HTTP-Anfragen an Server-Function-Endpunkte.

Haftungsausschluss

⚠️ WARNUNG: Dieses Tool ist nur für autorisierte Sicherheitstests.

• Verwenden Sie dieses Tool nur auf Systemen, die Sie besitzen oder für die Sie eine ausdrückliche schriftliche Erlaubnis zum Testen haben
• Unbefugter Zugriff auf Computersysteme ist illegal
• Das Testen erfolgt in Ihrer eigenen Verantwortung
• Die Autoren übernehmen keine Verantwortung für Missbrauch oder Schäden

Anforderungen

• Go 1.16 oder höher

Installation

go build -o exploit exploit.go

Oder direkt ausführen:

go run exploit.go

Verwendung

./exploit -u <URL> -c <command>

Optionen

• -u - Ziel-URL (erforderlich)
• -c - Auszuführender Befehl (Standard: id)

Beispiele

# Grundlegende Verwendung
./exploit -u https://vulnerable -c "whoami"

# Anderen Befehl ausführen
./exploit -u https://vulnerable -c "ls -la"

# Direkt mit Go ausführen
go run exploit.go -u https://vulnerable -c "pwd"

Screenshot

Ausgabe

Das Tool gibt aus:

• HTTP-Statuscode
• Ausgabe der Befehlsausführung (falls erfolgreich)

Referenzen

• FortiGuard Threat Signal Report - React2Shell RCE Vulnerability
• CVE-2025-55182 - NVD