CVE-2025-55182

Aplicación Vulnerable

Construir y ejecutar:

docker compose build
docker compose run --rm --entrypoint 'npm install' node
docker compose run --rm --entrypoint 'npm run build' node
docker compose up

POC (de https://github.com/msanft/CVE-2025-55182):

node poc.js

Experimentación con unbundled:

yarn --immutable

node --conditions react-server app.js

CodeQL

Clonar facebook/react y crear unbundled:

yarn --immutable

yarn cross-env RELEASE_CHANNEL=experimental node ./scripts/rollup/build.js react-server-dom-webpack/ --type=NODE_DEV

cp ./build/node_modules/react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.unbundled.development.js \
    codeql/${version}/

Preparar CodeQL:

codeql database create db -l javascript -s codeql

cd queries && codeql pack install

codeql query run ./queries/PrototypeTraversal.ql -d db

POR HACER

• Agregar una consulta para encontrar Promise.resolve(userData)
  • debería encontrar todas las funciones asíncronas que se resuelven con un objeto definido por el usuario
  • esta es la ubicación inmediata de los problemas de ejecución de código
• Agregar una consulta para encontrar await non-native-promise
  • debería encontrar todos los 'await' de funciones que no devuelven una promesa nativa
  • un llamador podría usar erróneamente await en un método que (a veces) devuelve datos sin procesar

Resultados

Detectó el uso corregido en getOutlinedModel (añadió hasOwnProperty.call) y el eliminado en createModelResolver (ahora fulfillReference).

No sé por qué el primero y el segundo apuntan a la misma ubicación, mientras que el extraído en vuln.js no.

Ejemplos

En codeql/tests.js existen estas tres variantes:

var value = {};
for (let i = 0; i < path.length; i++) {
  value = value[path[i]] // VarAccess
}

var value = {};
for (let i = 0; i < path.length; i++) {
  let c = value[path[i]] // VarDecl
  value = c
}

var value = {};
for (let i = 0; i < path.length; i++) {
  let c
  c = value[path[i]] // use VarRef
  value = c
}

Referencia: https://codeql.github.com/docs/codeql-language-guides/abstract-syntax-tree-classes-for-working-with-javascript-and-typescript-programs/