Laboratorio CTF React-2025: CVE-2025-55182

Resumen

Este repositorio contiene un laboratorio de Capture The Flag (CTF) diseñado estrictamente para fines educativos e investigación de seguridad.

El entorno incluye una tienda de demostración vulnerable construida con Next.js 16 ("Quantum Supplies"), creada específicamente para demostrar y practicar la explotación de CVE-2025-55182, una vulnerabilidad crítica de deserialización dentro del protocolo Flight de React Server Components.

(En breve se añadirá aquí un enlace a una guía detallada de recorrido y explotación en Notion).

Estructura del repositorio

• /app: Contiene el código fuente completo de la aplicación web vulnerable en Next.js, incluida la base de datos simulada, el estilo de interfaz personalizado Dark Liquid Glass y las acciones de servidor vulnerables.
• /documents: Contiene registros y preguntas/respuestas que detallan la arquitectura de la aplicación y los mecanismos de la vulnerabilidad, mientras construimos este entorno de laboratorio con la IA.
• /solution: Contiene una serie de documentos de análisis detallados utilizados para auditar la aplicación. Esto incluye el script finalizado solve.py, guías paso a paso para la explotación manual con Burp Suite y respuestas exhaustivas que explican la estructura del payload de React Flight (solution6.md, etc.).

Iniciar este servidor

La aplicación está completamente contenerizada mediante Docker para una investigación segura. Para levantar el servidor vulnerable y el backend simulado, ejecuta los siguientes comandos desde el directorio raíz:

# Build the Docker image and start the container in detached mode
sudo docker compose up -d --build

La aplicación será accesible a través de tu navegador en http://localhost:10001.

Nota: El contenedor aprovisiona automáticamente el archivo objetivo /flag/flag.txt necesario para el desafío CTF.