Exploit modular CVE-2025-55182 con bypass de WAF

Un script de Python que proporciona un shell interactivo para explotar la vulnerabilidad crítica de RCE (CVE-2025-55182) en aplicaciones vulnerables de React Server Components y Next.js. Este exploit apunta a la falla de deserialización que permite la ejecución remota de código no autenticado. Incluye un sistema modular para añadir técnicas de bypass de WAF.

[!NOTE] Este exploit está diseñado para interactuar con el endpoint del protocolo RSC vulnerable. Los resultados de la ejecución se capturan a través del mecanismo de respuesta del servidor. Los comandos que no produzcan salida devolverán (empty).

[!CAUTION] Este código es solo para fines de investigación y educación. Está destinado a ayudar a comprender, detectar y remediar la vulnerabilidad CVE-2025-55182. No lo utilice contra sistemas sin autorización explícita.

El uso de este script es bajo el propio riesgo del usuario, y el/los autor(es) no asumen ninguna responsabilidad por cualquier mal uso o consecuencias no deseadas.

Al usar este código, el usuario reconoce y acepta lo siguiente:

• El usuario es el único responsable de cualquier consecuencia legal derivada del uso de este script.
• El usuario no responsabilizará al/los autor(es) por daños, pérdidas o acciones legales resultantes del uso de este código.
• El usuario acepta cumplir con todas las leyes y regulaciones aplicables.
• El usuario reconoce que usar este script contra sistemas sin permiso puede violar leyes y términos de servicio, lo que podría conllevar sanciones graves.
• Se recomienda al usuario consultar a su propio asesor legal antes de usar este código.

Detalles de la vulnerabilidad

• Identificador CVE: CVE-2025-55182 (React Server Components)
• CVE relacionado: CVE-2025-66478 (impacto posterior en Next.js)
• Gravedad: Crítica (CVSS 10.0)
• Descripción: Vulnerabilidad de ejecución remota de código (RCE) no autenticada en React Server Components, que afecta a aplicaciones que usan Next.js App Router con versiones vulnerables de React.
• Versiones de React afectadas: 19.0, 19.1.0, 19.1.1, 19.2.0
• Versiones de Next.js afectadas: 15.x, 16.x, 14.3.0-canary.77+
• Versiones de React parcheadas: >= 19.0.1, >= 19.1.2, >= 19.2.1
• Versiones de Next.js parcheadas: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

Módulos de bypass de WAF

Este exploit cuenta con un sistema dinámico de módulos de bypass de WAF. Los módulos se almacenan en el directorio waf_modules como archivos Python separados. Cada módulo debe definir una función modify_request(body, headers) que reciba el cuerpo y las cabeceras de la solicitud predeterminada, los modifique según sea necesario para el bypass y devuelva el nuevo body, headers.

• Añadir un módulo: Crea un nuevo archivo Python (por ejemplo, bypass_custom.py) en el directorio waf_modules que contenga la función modify_request.
• Usar un módulo: Ejecuta el script con la opción --help para ver las opciones de bypass disponibles (por ejemplo, --bypass-custom para bypass_custom.py). Usa la opción correspondiente para activar el módulo.

Ejemplo: Se incluye un módulo bypass_vercel.py como ejemplo, que implementa técnicas potencialmente efectivas contra despliegues de Vercel.

Configuración avanzada de sesión (--modify-request)

El script permite la modificación directa de ciertos atributos del objeto requests.Session utilizado para realizar solicitudes HTTP. Esto proporciona un control granular sobre aspectos como la verificación SSL, los tiempos de espera (timeouts) y potencialmente otros ajustes a nivel de sesión.

• Uso: Utiliza la opción --modify-request <KEY> <VALUE>. <KEY> corresponde a un atributo del objeto requests.Session (por ejemplo, verify, timeout).
• Conversión de tipos: El script intenta realizar una conversión básica de tipos para <VALUE>: true/false se convierten en booleanos, las cadenas numéricas se convierten en enteros o flotantes; de lo contrario, permanecen como cadena.
• Ejemplo específico - Verificación SSL:
  • Para habilitar la verificación SSL: --modify-request verify True
  • Para deshabilitar la verificación SSL: --modify-request verify False (equivalente a la antigua opción --insecure)
• Ayuda: Ejecuta python CVE-2025-55182.py --help-modify-request para ver una visualización en forma de árbol de las opciones comunes.

Requisitos previos

• Python 3.x
• Bibliotecas de Python requeridas (consulta requirements.txt)

Configuración

1. Instala las dependencias de Python: Se recomienda usar un entorno virtual (por ejemplo, python -m venv venv y source venv/bin/activate en sistemas tipo Unix o venv\Scripts\activate en Windows).
   root@kitploit:~

   pip install -r requirements.txt
   

2. Crea el directorio waf_modules:
   root@kitploit:~

   mkdir waf_modules
   

   Coloca tus archivos de módulo de bypass de WAF (por ejemplo, bypass_vercel.py) dentro de este directorio.

Ejecutar el exploit

1. Prepara un entorno vulnerable (solo para pruebas):

   root@kitploit:~

   docker run --rm -p 127.0.0.1:3000:3000 ghcr.io/l4rm4nd/cve-2025-55182:latest
   

   Más información: https://github.com/l4rm4nd/CVE-2025-55182

2. Ejecuta el script:

   root@kitploit:~

   python CVE-2025-55182.py --help # To see all options, including WAF bypasses
   # Example with a bypass module:
   python CVE-2025-55182.py --host 127.0.0.1 --port 3000 --endpoint / --bypass-vercel
   

   Si no se usan argumentos de línea de comandos, el script solicitará interactivamente el host, el puerto y el endpoint.

3. Interactúa con el shell:

   • Escribe comandos y presiona Enter para ejecutarlos en el sistema de destino.
   • Escribe exit o quit para finalizar la sesión del shell.