Laboratorio RSC CVE-2025-55182 (intencionalmente vulnerable)

Laboratorio Docker local para investigación de seguridad autorizada: React Server Components / Next.js App Router con un stack en el rango afectado por CVE-2025-55182 (React2Shell).

Úselo solo en su propia máquina. No exponga este contenedor a internet.

Referencias

• React — Vulnerabilidad de seguridad crítica en React Server Components
• NVD — CVE-2025-55182
• Avisos de seguridad de Next.js (rutas de actualización para su línea de lanzamiento)

Lo que ejecuta esto

La aplicación es una página mínima de App Router con una Server Action para que POST / con un encabezado Next-Action se comporte como un objetivo real.

Requisitos previos

• Docker y Docker Compose v2
• Motor Docker en ejecución (ej. Docker Desktop)

Inicio rápido

git clone https://github.com/l0lsec/cve-2025-55182-lab.git
cd cve-2025-55182-lab

# Build and run in the background
docker compose up --build -d

Abra http://localhost:3000 — debería ver “RSC lab (intentionally vulnerable)” y un pequeño formulario.

Verificar que está activo

curl -sS -o /dev/null -w "%{http_code}\n" http://127.0.0.1:3000/
# expect: 200

Registros

docker compose logs -f

Detener

docker compose down

Pruebas con Burp Suite

1. Establezca Target en http://localhost:3000 (o haga un túnel a través de Burp).
2. Envíe POST / con Content-Type: multipart/form-data y su cuerpo de exploit de protocolo Flight (campos multipart 0, 1, 2 como en los write-ups públicos / sus plantillas).
3. Encabezado Next-Action
   • Intente interceptar un envío de formulario normal y copie el valor real de Next-Action de esa solicitud, o
   • Inspeccione el HTML de la página: el id de la acción aparece en campos ocultos / carga útil RSC (puede cambiar cuando reconstruye la imagen).

Forma de ejemplo del encabezado:

Next-Action: <action-id-from-intercepted-request>

Si un marcador de posición genérico no funciona, prefiera siempre el id vivo del historial de Proxy después de un envío legítimo.

Ejemplos de solicitudes sin formato

Las plantillas multipart POST / listas para pegar se encuentran en burp-payloads/ (ej. id, whoami, sleep basado en tiempo, marcadores OOB). Consulte burp-payloads/README.md para un índice de archivos. Reemplace YOUR-COLLABORATOR-HOST en las plantillas OOB antes de enviar.

Estructura del proyecto

.
├── Dockerfile              # Multi-stage build, Next standalone, port 3000
├── docker-compose.yml      # Maps host 3000 → container 3000
├── burp-payloads/          # Raw *.http for Burp Repeater + index README
├── app/
│   ├── layout.tsx
│   └── page.tsx            # Server Action + lab UI
├── public/
├── package.json
├── package-lock.json
└── next.config.ts          # output: "standalone"

Desarrollo (sin Docker)

npm install
npm run dev
# http://localhost:3000

Para la reproducción del CVE, prefiera la imagen Docker para que el stack coincida con las dependencias vulnerables fijadas.

Después de terminar las pruebas

• Destruya el contenedor y la imagen si ya no los necesita.
• Actualice cualquier aplicación real a Next.js / React parcheado según la guía del proveedor — este repositorio no es una línea base segura.

Licencia

Solo para uso educativo / de laboratorio. Usted es responsable de cumplir con las leyes y políticas donde opera. Sin garantía.