R2S - Escáner React2Shell

Un escáner de vulnerabilidades basado en web para CVE-2025-55182, una vulnerabilidad crítica de Ejecución Remota de Código (RCE) en React Server Components.

Escáner en vivo: https://r2s.mxm0z.com

Acerca de CVE-2025-55182

CVE-2025-55182 es una vulnerabilidad crítica (CVSS 10.0) en el protocolo Flight de React Server Components que permite a atacantes no autenticados ejecutar código arbitrario en servidores Next.js vulnerables mediante peticiones HTTP manipuladas.

Versiones Afectadas

Cómo Funciona

Este escáner envía un payload de detección seguro a la URL objetivo. El payload usa "_prefix":"1", que simplemente se evalúa como el número 1; no ejecuta ningún código en el servidor objetivo.

Lógica de Detección

Despliega el Tuyo

Requisitos Previos

• Cuenta de Cloudflare (el plan gratuito funciona)
• Node.js 18+
• CLI de Wrangler

Configuración

# Clona el repositorio
git clone https://github.com/mxm0z/r2s.git
cd r2s

# Instala las dependencias
npm install

# Ejecuta localmente
npm run dev

# Despliega en Cloudflare Pages
npm run deploy

Dominio Personalizado (Opcional)

1. Añade tu dominio a Cloudflare
2. Ve a Cloudflare Pages > tu proyecto > Custom domains
3. Añade tu subdominio (p. ej., scanner.yourdomain.com)

Estructura del Proyecto

r2s/
├── public/
│   ├── index.html      # Página principal
│   ├── style.css       # Estilos
│   ├── app.js          # Lógica del frontend
│   └── _worker.js      # Cloudflare Worker (API del escáner)
├── wrangler.toml       # Configuración de Cloudflare
└── package.json

API

POST /api/scan

Escanea una URL objetivo para detectar CVE-2025-55182.

Solicitud:

{
  "targetUrl": "https://example.com"
}

Respuesta:

{
  "target": "https://example.com",
  "timestamp": "2025-01-15T12:00:00.000Z",
  "status": "not_vulnerable",
  "message": "NOT VULNERABLE",
  "httpStatus": "404 Not Found",
  "responsePreview": "...",
  "confidence": "high"
}

Aviso Legal

Esta herramienta se proporciona solo para pruebas de seguridad autorizadas. Escanea únicamente aplicaciones sobre las que tengas permiso explícito para realizar pruebas. Los autores no son responsables del uso indebido de esta herramienta.

Créditos

• Investigación Original: Lachlan Davidson
• Aviso de React: GHSA-fv66-9v8q-g76r
• Aviso de Next.js: GHSA-9qr9-h5gf-34mp

Licencia

MIT