Next.js RSC RCE Exploit Tool (CVE-2025-55182)

Introducción del proyecto

CVE-2025-55182 es una vulnerabilidad de alto riesgo presente en la cadena de procesamiento de los componentes del servidor (RSC) de Next.js. Mediante la construcción de solicitudes especiales multipart/form-data y bloques de respuesta RSC falsificados, un atacante puede inducir al servidor a ejecutar código JavaScript arbitrario, logrando finalmente la ejecución remota de comandos a través de process.mainModule.require('child_process').

Este proyecto envuelve la cadena de explotación de esta vulnerabilidad en una herramienta de escritorio gráfica, reduciendo el coste de verificación para los investigadores de seguridad en entornos de pruebas autorizados. Integra:

• Detección automática mediante sonda aritmética
• Ejecución de comandos síncrona/asíncrona (con/sin eco)
• Ejecución de código JS arbitrario
• Lectura/escritura remota de archivos y enumeración de directorios
• Carga dinámica de módulos Node
• Ofuscación múltiple de payloads Unicode / UTF-16 / AES para evadir la detección de WAF comunes
• Soporte de proxies HTTP / HTTPS / SOCKS5

Inicio rápido

1. Clonar el repositorio

git clone <repo-url> Nextjs_Exploit_Tool
cd Nextjs_Exploit_Tool

2. Compilar el paquete de producción

wails build

El artefacto compilado se encuentra en build/bin/:

• macOS: NextjsExploitTool.app
• Windows: NextjsExploitTool.exe
• Linux: NextjsExploitTool

3. Compilación cruzada

# Windows (compilación cruzada desde macOS/Linux)
GOOS=windows wails build

# Linux (compilación cruzada desde macOS, requiere mingw-w64)
GOOS=linux wails build

Antes de la compilación cruzada, es necesario configurar la cadena de herramientas C de la plataforma correspondiente; consulte la documentación de Wails.

Captura de la interfaz principal

Proyecto de referencia

https://github.com/pyroxenites/Nextjs_RCE_Exploit_Tool

Descargo de responsabilidad

Este proyecto está destinado exclusivamente a pruebas de seguridad autorizadas, investigación de seguridad y demostraciones educativas. Los usuarios deben cumplir con las leyes y regulaciones de su región y asegurarse de haber obtenido la autorización escrita explícita del propietario del sistema objetivo.

• No debe utilizarse contra objetivos reales sin autorización
• No debe utilizarse para dañar, invadir o afectar la disponibilidad de los sistemas de terceros
• El autor no se hace responsable de ninguna consecuencia derivada del uso indebido de esta herramienta

El uso de esta herramienta implica que ha leído y aceptado los términos anteriores. Si no está seguro de si su acción es legal, no la utilice.

Licencia

Este proyecto es solo para fines de investigación y pruebas autorizadas.