CVE-2025-55182 POC de RCE en React Server Components

Este proyecto es una Prueba de Concepto (PoC) para CVE-2025-55182 - Ejecución Remota de Código (RCE) en React Server Components (RSC), que demuestra cómo, bajo ciertas condiciones, se puede desencadenar ejecución remota de código mediante vm.runInThisContext y cargas útiles (payloads) ACTION maliciosas.

• Lado Python: envía automáticamente cargas útiles ACTION maliciosas y analiza la respuesta

⚠ Resumen de la vulnerabilidad (CVE-2025-55182)

Las cargas útiles ACTION de React Server Components, bajo ciertas condiciones:

• Son deserializadas como objetos JS
• Son ejecutadas mediante vm.runInThisContext
• Se inyectan automáticamente en las server actions

Un atacante puede construir el siguiente payload:

{
  "$ACTION_REF_0": "",
  "$ACTION_0:0": "{\"id\": \"vm#runInThisContext\", \"bound\": [\"global.process.mainModule.require('child_process').execSync('calc').toString()\"]}"
}