CVE-2025-55182: React Server Components RCE-Scanner

Ein umfassendes Toolkit zur Erkennung und Ausnutzung von CVE-2025-55182, einer kritischen Remote-Code-Ausführungsschwachstelle in Next.js-Anwendungen, die React Server Components verwenden.

Dieses Repository enthält einen einheitlichen Bash-Scanner (Einzel- & Massenmodus), Python/Go-Implementierungen und einen Bug-Bounty-Reconnaissance-Workflow.

📂 Repository-Struktur

• scanner.sh — All-in-one-Bash-Skript für Einzelziel- und Massen-Scanning
• python/exploit.py — Stabile Python-Implementierung (besseres JSON-Escaping)
• go/main.go — Hochleistungsimplementierung (kompilierbar)

🚀 Reconnaissance-Workflow (Bug-Bounty-Methodik)

Für die Massensuche auf Wildcard-Domains verwenden Sie diese Pipeline, um Ziele vor dem Scannen zu filtern:

# 1. Enumerate subdomains
subfinder -dL wildcards.txt -all -recursive > subs.txt

# 2. Filter for live hosts
httpx -l subs.txt -o live.txt

# 3. Pre-scan detection using Nuclei (optional)
nuclei -l live.txt -t CVE-2025-55182.yaml -o final.txt

🛠️ Bash-Scanner-Nutzung (Empfohlen)

Das Skript scanner.sh unterstützt Einzelziel-Scans und Massen-Scans aus einer Dateiliste.

🔧 Installation

chmod +x scanner.sh

1️⃣ Einzelziel-Modus

Am besten geeignet, um ein bestimmtes Ziel mit ausführlicher Ausgabe zu überprüfen.

# Basic check (defaults to "id")
./scanner.sh -d example.com

# Execute custom command
./scanner.sh -d https://target.com -c "cat /etc/passwd"

2️⃣ Massen-Scan-Modus

Scannt effizient eine Liste von URLs und speichert verwundbare Hosts in einer Datei.

# Scan a list of URLs
./scanner.sh -l live.txt -c "whoami"

# Custom output file
./scanner.sh -l live.txt -o my_bounty.txt

Optionen

🐍 Python-Version

Verwenden Sie diese Version, wenn Sie Probleme mit dem Escaping von Sonderzeichen in Bash haben.

Anforderungen

pip install requests

Verwendung

python3 python/exploit.py -u http://target.com -c "uname -a"

🐹 Go-Version

Hohe Leistung, minimale Abhängigkeiten.

Direkt ausführen

go run go/main.go -u http://target.com -c "id"

Binärdatei erstellen

cd go
go build -o cve-scanner main.go
./cve-scanner -u http://target.com

⚠️ Haftungsausschluss

Dieses Tool dient nur zu Bildungszwecken und autorisierten Sicherheitstests. Unbefugte Nutzung ist strikt illegal. Der Entwickler übernimmt keine Haftung für Missbrauch oder Schäden, die durch dieses Programm verursacht werden.

🔗 Referenzen

• NVD-CVE-Detail: https://nvd.nist.gov/vuln/detail/CVE-2025-55182

• React-Sicherheitshinweis (React Server Components-Schwachstelle): https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

• ProjectDiscovery-Nuclei-Template: https://cloud.projectdiscovery.io/library/CVE-2025-55182