CVE-2025-55182 - React RSC RCE

PoC para la vulnerabilidad de deserialización en el protocolo Flight de React Server Components.

¿Qué es?

Next.js 14+ y React 19 usan un protocolo propietario ("Flight") para comunicarse entre cliente y servidor. El problema: el servidor carga cualquier módulo sin verificar. Así que podemos hacer que ejecute child_process y boom, RCE.

Uso

python CVE-2025-55182.py -t <IP> -p <PORT> --cmd "id"

Versiones afectadas

• Next.js < 14.2.21
• Next.js < 15.1.2
• React < 19.2.1

Solución

Actualiza tus dependencias. Eso es todo.

Descargo de responsabilidad

Úsalo únicamente en sistemas que poseas o con autorización por escrito. No soy responsable si haces tonterías.