CVE-2025-55182 RCE

Herramienta de comprobación de uso propio para verificar la vulnerabilidad CVE-2025-55182

Principio de la vulnerabilidad

React Server Components presenta un defecto en el análisis de rutas al decodificar los payloads enviados al endpoint de la función del servidor. Utiliza el separador de dos puntos para acceder a propiedades anidadas de objetos (por ejemplo, $1🅰️b corresponde a {"a":{"b":"foo"}}.a.b), pero no valida la existencia de las propiedades. Al pasar $1🅰️a, se desencadena un acceso inválido a {}.a.a, lo que provoca un error 500 en el servidor; un atacante puede lograr RCE mediante la construcción de payloads especiales que explotan la contaminación de la cadena de prototipos y la inyección de código.

Descripción del directorio

• exp.py Código de explotación de la vulnerabilidad (getshell con un clic)
• cve-2025-55182-check.sh Herramienta de autocomprobación de vulnerabilidades del host

Método de explotación

python3 exp.py -t http://127.0.0.1:8080/ -a 127.0.0.1:4444

Método de autocomprobación

CVE-2025-55182-Check.sh [-h] [-f <path>] [-a]

Descargo de responsabilidad

Esta herramienta es solo para investigación de seguridad; no la utilice con fines ilegales.