React Server Components Sicherheitslabor (CVE-2025-55183 & CVE-2025-55184)

Eine umfassende Sicherheitstestumgebung für die Schwachstellen CVE-2025-55183 (Quellcode-Offenlegung) und CVE-2025-55184 (Denial of Service) in React Server Components.

⚠️ Haftungsausschluss

NUR FÜR BILDUNGS- UND SICHERHEITSFORSCHUNGSZWECKE

Dieses Repository enthält absichtlich verwundbare Anwendungen und Exploit-Werkzeuge. Testen Sie ausschließlich Systeme, die Ihnen gehören oder für die Sie eine ausdrückliche schriftliche Genehmigung haben. Unautorisierte Tests sind illegal und unethisch.

🔍 Über die Schwachstellen

Beide Schwachstellen betreffen React Server Components in den Versionen 19.0.0 bis 19.2.2 und wurden am 11. Dezember 2025 offengelegt.

CVE-2025-55183: Quellcode-Offenlegung (Mittlerer Schweregrad)

Eigenschaft	Wert
Schweregrad	Mittel (CVSS 5.3)
Typ	Informationsoffenlegung
Auswirkung	Offenlegung von Server-Quellcode
Authentifizierung	Keine erforderlich

Angreifer können Server-Action-Argumente manipulieren, um serverseitigen Quellcode preiszugeben, indem sie .toString() auf Server-Funktionsobjekten aufrufen. Dies legt Folgendes offen:

Geschäftslogik und Algorithmen
Hartcodierte API-Schlüssel oder Geheimnisse
Interne Implementierungsdetails
Datenbankabfragen und Schema-Informationen

CVE-2025-55184: Denial of Service (Hoher Schweregrad)

Eigenschaft	Wert
Schweregrad	Hoch (CVSS 7.5)
Typ	Denial of Service
Auswirkung	Vollständiger Dienstausfall
Authentifizierung	Keine erforderlich

Speziell konstruierte Payloads erzeugen eine unendliche Promise-Rekursion, wodurch der Node.js-Server auf unbestimmte Zeit hängen bleibt. Dies führt zu:

Vollständiger Ausfall des Dienstes
CPU-Erschöpfung
Blockierte Event-Loop
Manueller Neustart erforderlich

Vergleich

Aspekt	CVE-2025-55183	CVE-2025-55184
Schweregrad	Mittel	Hoch
Typ	Informationsoffenlegung	Denial of Service
Auswirkung	Quellcode-Leck	Serverabsturz
Erkennung	Antwort enthält Code	Server-Timeout/Hänger
Wiederherstellung	Sofort	Neustart erforderlich

⚠️ Wichtig: Über CVE-2025-55184 (DoS) in dieser Demo

Warum der DoS die Demo-App möglicherweise nicht zum Absturz bringt

TL;DR: Die App IST verwundbar (React 19.0.0), aber moderne Schutzmechanismen können den tatsächlichen Absturz in dieser Demo-Umgebung verhindern.

Der Realitätscheck

CVE-2025-55184 ist eine ECHTE, KRITISCHE Schwachstelle, die React 19.0.0-19.2.2 in Produktionsumgebungen betrifft. Die erfolgreiche Demonstration des DoS-Absturzes in einer lokalen Demo kann jedoch aus folgenden Gründen eine Herausforderung sein:

1. Integrierter Schutz von Next.js

Next.js 15.x enthält Fehlergrenzen (Error Boundaries), die viele Abstürze abfangen und sich davon erholen
Automatische Fehlerbehandlungsmechanismen verhindern unendliche Rekursion
Der Produktionsmodus verwendet eine andere Fehlerbehandlung als der verwundbare Codepfad

2. Docker-Isolation

Containerisierung fügt Prozessisolation hinzu
Ressourcengrenzwerte verhindern das vollständige Einfrieren des Systems
Das Init-System von Docker kann hängende Prozesse erkennen und neu starten

3. Entwicklung vs. Produktion

Der genaue verwundbare Codepfad erfordert spezifische Produktionskonfigurationen
Entwicklungs-/Demo-Umgebungen verfügen über zusätzliche Sicherheitsmechanismen
Race Conditions und Timing unterscheiden sich in Containern

So überprüfen Sie, ob die Schwachstelle vorhanden ist

Selbst wenn der Exploit die Demo nicht zum Absturz bringt, können Sie die Schwachstelle über folgende Methoden verifizieren:

Methode 1: Versionsprüfung (Zuverlässigste Methode)

cd vulnerable-app
npm list react react-dom

# Output shows:
[email protected]        ← VULNERABLE VERSION
[email protected]    ← VULNERABLE VERSION

Wenn Sie 19.0.0 bis 19.2.2 sehen, IST die Anwendung verwundbar.

Methode 2: Scanner-Erkennung

cd scanner
python scan.py http://localhost:3000

Der Scanner prüft auf:

✅ React-Version im verwundbaren Bereich
✅ Server Actions aktiviert
✅ Korrekte Server-Antwortheader
✅ Ausnutzbare Endpunktmuster

🚀 Schnellstart

Voraussetzungen

Docker & Docker Compose
Python 3.7+
Git

1. Repository klonen

git clone https://github.com/StealthMoud/react-server-cve-lab.git
cd react-server-cve-lab

2. Verwundbare Anwendung starten

# Start the app (vulnerable to both CVEs)
docker-compose up --build -d

# App available at: http://localhost:3000

3. Scanner ausführen

cd scanner

# Install dependencies
pip install -r requirements.txt

# Scan for both vulnerabilities
python scan.py http://localhost:3000

# Scan only CVE-2025-55183
python scan.py --cve 55183 http://localhost:3000

# Scan only CVE-2025-55184
python scan.py --cve 55184 http://localhost:3000

# Scan multiple targets
python scan.py --file targets.txt

📁 Repository-Struktur

react-server-cve-lab/
├── README.md                          # This file
├── DOCUMENTATION.md                   # Complete technical documentation
├── LICENSE
├── .gitignore
├── docker-compose.yml
│
├── vulnerable-app/                    # Vulnerable to BOTH CVEs
│   ├── Dockerfile
│   ├── package.json
│   ├── next.config.js
│   └── app/
│       ├── layout.js
│       ├── page.js
│       └── actions.js                 # Vulnerable server actions
│
├── scanner/
│   ├── requirements.txt
│   ├── scan.py                        # Scanner for both CVEs
│   └── README.md
│
└── exploits/
    ├── exploit-55183.py               # PoC for CVE-2025-55183
    ├── exploit-55184.py               # PoC for CVE-2025-55184
    └── README.md

🎯 Verwundbare Anwendung

Die Anwendung ist eine Next.js-App mit React 19.0.0 und Server Actions, die gegenüber beiden CVEs verwundbar ist.

Funktionen

Server Actions: Mehrere Endpunkte, die beide Schwachstellen demonstrieren
Realistischer Code: Simuliert reale Muster mit Geheimnissen
Einfaches Testen: Einfache Benutzeroberfläche für manuelle Tests
Docker-basiert: Isolierte, reproduzierbare Umgebung

Die App starten

# Using Docker Compose (recommended)
docker-compose up --build -d

# Check if running
curl http://localhost:3000

# View logs
docker-compose logs -f

# Stop the app
docker-compose down

Manuelle Einrichtung (ohne Docker)

cd vulnerable-app
npm install
npm run build
npm start

🔎 Scanner-Verwendung

Der einheitliche Scanner erkennt sowohl CVE-2025-55183 als auch CVE-2025-55184.

Grundlegende Verwendung

cd scanner

# Scan for both CVEs
python scan.py http://localhost:3000

# Scan specific CVE only
python scan.py --cve 55183 http://localhost:3000
python scan.py --cve 55184 http://localhost:3000

Erweiterte Optionen

# Verbose output
python scan.py --verbose http://localhost:3000

# Custom timeout
python scan.py --timeout 10 http://example.com

react-server-cve-lab

Beliebteste