CVE-2025-55182 – Laboratorio de RCE Local (Componentes del Servidor React)

Este repositorio es un pequeño laboratorio local para entender cómo funciona CVE-2025-55182 en la práctica en una aplicación deliberadamente vulnerable de Componentes del Servidor React / Next.js.

Está destinado únicamente a la educación, el trabajo de equipo azul y la concienciación sobre desarrollo seguro.

Para el informe completo y los antecedentes, véase:
https://medium.com/@terwaljoop/cve-2025-55182-how-this-rce-works-in-the-real-world-b7d0564e5466

Aviso legal

• Este código es para aprendizaje y pruebas en un entorno local únicamente
• No apunte este PoC a sistemas que no posea o para los que no tenga permiso explícito de pruebas
• El objetivo es comprender la ruta de ataque y mejorar las defensas, no atacar objetivos reales

Al utilizar este laboratorio acepta que es responsable de sus propias acciones.

Estructura del repositorio

vulreactapp/
├─ vuln-app-CVE-2025-55182/   # Aplicación vulnerable Next.js / RSC
│  ├─ app/
│  ├─ curl_id.sh              # Script auxiliar para desencadenar RCE en el laboratorio
│  ├─ next.config.js
│  ├─ package.json
│  ├─ package-lock.json
│  └─ ...
└─ react2shell-scanner/       # Escáner auxiliar opcional (nuclei, etc.)
   ├─ list.txt
   ├─ scan.yaml
   ├─ scanner.py
   └─ ...