Escáner CVE-2025-55182

Un escáner de prueba de concepto para CVE-2025-55182, una vulnerabilidad crítica de Ejecución Remota de Código (RCE) sin autenticación en React Server Components (RSC).

Resumen

El 3 de diciembre de 2025, se reveló una vulnerabilidad crítica que afecta a aplicaciones React 19.x y Next.js que utilizan React Server Components. El fallo reside en la lógica de deserialización del protocolo "Flight" de RSC, permitiendo a atacantes ejecutar código arbitrario en el servidor mediante peticiones HTTP manipuladas.

Gravedad

Impacto

• Ejecución Remota de Código sin autenticación
• Compromiso total del servidor
• Captura de credenciales desde variables de entorno
• Exfiltración de metadatos de la nube
• Movimiento lateral dentro de la infraestructura

Versiones afectadas

Uso

Escaneo de un solo objetivo

go run ./cmd/main.go -t https://ejemplo.com

Un solo objetivo con shell interactiva

go run ./cmd/main.go -t https://ejemplo.com -shell

Escaneo por lotes desde archivo

go run ./cmd/main.go -f objetivos.txt -c 20

Exportar resultados

go run ./cmd/main.go -f objetivos.txt -json resultados.json -csv resultados.csv

Opciones

Ejemplo de salida

React2Shell Scanner v1.0.0
CVE-2025-55182 | React Server Components RCE
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

[+] VULNERABLE  https://app.ejemplo.com/ 142ms
[-] SEGURO      https://api.ejemplo.com/ 203ms
[!] ERROR       https://interno.ejemplo.com/ (timeout) 15000ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
ESCANEO COMPLETADO

  Objetos escaneados:     3
  Vulnerables:            1 (33%)
  Seguros:                1
  Errores:                1

  Duración:               15.4s
  Respuesta media:        5115ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
OBJETIVOS VULNERABLES

  1. https://app.ejemplo.com/

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
MITIGACIÓN

  Actualice a las versiones parcheadas:

  Next.js:
    15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

  react-server-dom:
    19.0.1, 19.1.2, 19.2.1

Detalles técnicos

La vulnerabilidad existe en el manejo de cargas serializadas del protocolo "Flight" de RSC. Al procesar datos de formulario multipart especialmente manipulados, el servidor no valida correctamente la estructura de la carga, permitiendo una contaminación de prototipos que conduce a la ejecución de código arbitrario.

Vector de ataque

1. El atacante envía una carga malformada de RSC mediante una petición POST
2. El servidor deserializa la carga sin la validación adecuada
3. La contaminación de prototipos permite el acceso al constructor
4. Se ejecuta JavaScript arbitrario en el contexto de Node.js
5. La salida del comando se exfiltra mediante la cabecera de redirección

Detección

Busque peticiones POST que contengan:

• Cabecera Next-Action
• Datos de formulario multipart con referencias a __proto__
• Respuestas con X-Action-Redirect inusuales

Mitigación

1. Inmediato: Actualice a las versiones parcheadas listadas arriba
2. Reglas WAF: Bloquee peticiones que contengan __proto__ en el cuerpo
3. Monitorización: Alerte sobre patrones sospechosos en la cabecera Next-Action
4. Red: Restrinja las conexiones salientes desde servidores Next.js

Aviso legal

SOLO PARA USO INTERNO

Esta herramienta está destinada únicamente a pruebas de seguridad autorizadas. Úsela solo en sistemas que posea o para los que tenga permiso explícito para realizar pruebas. El acceso no autorizado a sistemas informáticos es ilegal.

Referencias

• Advertencia de investigación de Wiz
• Boletín de seguridad de React
• Advertencia de Vercel

Licencia

Solo para uso interno. No distribuir.