Next.js RSC RCE Scanner (Extensión de Burp Suite)

Una extensión de Burp Suite de alta fidelidad para detectar la vulnerabilidad Ejecución remota de código en Next.js / React Server Components (RSC) (CVE-2025-55182 y CVE-2025-66478).

Esta extensión implementa la lógica de detección descubierta por el Searchlight Cyber Security Research Team. Envía una solicitud multipart malformada específica para provocar un fallo de acceso a propiedad en un objeto undefined dentro del flujo RSC.

Detalles de la vulnerabilidad

• Identificadores CVE: CVE-2025-55182, CVE-2025-66478

• Gravedad: Alta / Crítica

• Software afectado: Next.js (configuraciones predeterminadas de App Router)

• Causa raíz: El manejo inadecuado del acceso a propiedades delimitado por dos puntos en react-server-dom-parcel, react-server-dom-turbopack y react-server-dom-webpack provoca una caída del servidor (y posible RCE) al procesar flujos multipart maliciosos.

Características

• Alta fidelidad: Comprueba la firma de error RSC específica (E{"digest") combinada con un código de estado 500 para eliminar falsos positivos.

• Escaneo activo: Se integra directamente en el escáner activo de Burp.

• Escaneo manual: Haz clic derecho en cualquier solicitud para escanear explícitamente esta vulnerabilidad.

• Informes enriquecidos: Entradas detalladas en el panel de problemas con formato HTML, referencias y pasos de remediación.

• Payload seguro: Utiliza un payload solo de detección que provoca una caída/error sin ejecutar código dañino.

Instalación

1. Descarga el último archivo JAR desde la página de Releases (o compílalo tú mismo).

2. Abre Burp Suite.

3. Navega a Extensions > Installed.

4. Haz clic en Add.

5. Selecciona Extension type: Java.

6. Selecciona el archivo NextJsRceScanner-1.0-SNAPSHOT.jar.

Uso

1. Navega a la aplicación Next.js objetivo en Burp Suite.

2. Haz clic derecho en cualquier solicitud (por ejemplo, GET /) en el Proxy History o Repeater.

3. Selecciona Extensions > Next.js RSC RCE Scanner > Scan.

4. Revisa la pestaña Dashboard o Target para ver los problemas.

5. Si es vulnerable, aparecerá un problema de gravedad alta etiquetado como "Next.js RSC Remote Code Execution (CVE-2025-55182)".

Compilación desde el código fuente

Para compilar este proyecto, necesitas Java JDK 21+.

1. Clona el repositorio:

   root@kitploit:~

   git clone https://github.com/tobiasGuta/Next.js-RSC-RCE-Scanner-Burp-Suite-Extension.git
   cd Next.js-RSC-RCE-Scanner-Burp-Suite-Extension
   
   

2. Compila con Gradle:

   root@kitploit:~

   # Linux/Mac
   ./gradlew clean build
   
   # Windows
   gradlew.bat clean build
   
   

3. Localiza el JAR: la extensión compilada se ubicará en: build/libs/NextJsRceScanner-1.0-SNAPSHOT.jar.

POC

https://github.com/user-attachments/assets/55ef4a5b-207f-4098-bc55-2629f9715402

Referencias

• Searchlight Cyber: Mecanismo de detección de alta fidelidad

• Assetnote React2Shell Scanner

• Aviso de seguridad de Next.js

Descargo de responsabilidad

Esta herramienta es solo para fines educativos y pruebas de seguridad autorizadas. No utilices esta herramienta en sistemas en los que no tengas permiso explícito para realizar pruebas. Los autores no son responsables de ningún uso indebido o daño causado por esta herramienta.