NextRce - Herramienta de Explotación RSC de Next.js (CVE-2025-55182)

Escáner y Explotador Avanzado de Vulnerabilidades para Next.js App Router

Desarrollado por Mitsec

🔥 Nueva Funcionalidad: Modo de Omisión de WAF (UTF-16LE)

Los payloads estándar que contienen palabras clave como child_process o execSync suelen ser bloqueados por los Firewalls de Aplicaciones Web (WAF).

NextRCSWaff.py utiliza un motor de codificación especializado UTF-16LE (Little Endian). Al codificar el payload malicioso en este formato específico, la secuencia de bytes cambia por completo, volviéndola invisible para la mayoría de los WAF basados en firmas. Sin embargo, el servidor Next.js (Node.js) decodifica y ejecuta correctamente el comando.

Prueba de concepto: La captura de pantalla anterior muestra un payload estándar siendo bloqueado (arriba), seguido de una ejecución RCE exitosa usando NextRCSWaff.py con el flag --bypass (abajo).

📖 Descripción

NextRce es una herramienta de seguridad multihilo de alto rendimiento diseñada para detectar y explotar CVE-2025-55182. Se dirige específicamente a la implementación de React Server Components (RSC) dentro de la arquitectura App Router de Next.js.

Al manipular el proceso de serialización en Server Actions, NextRce inyecta un payload diseñado para lograr Ejecución Remota de Código (RCE) en instancias vulnerables. Cuenta con un motor de detección inteligente que distingue automáticamente entre las arquitecturas vulnerables App Router y los routers de páginas legacy seguros, garantizando la eficiencia durante los escaneos masivos.

🚀 Características Principales

• 🛡️ Omisión de WAF (NextRCSWaff.py): Utiliza codificación UTF-16LE para evadir la detección de WAF mientras mantiene la integridad del payload en el lado del servidor.
• Detección Inteligente de Arquitectura: Analiza heurísticamente el DOM (buscando window.__next_f) para identificar objetivos vulnerables de App Router frente a sitios con el router de páginas legacy.
• Listo para Pipeline y CI/CD: Soporta completamente la canalización de stdin. Se integra sin problemas con herramientas de reconocimiento como subfinder, httpx y gau.
• Motor de Escaneo Masivo: ThreadPoolExecutor incorporado permite escanear miles de dominios de forma concurrente con un mínimo consumo de recursos.
• Parseo Automático: Extrae automáticamente URLs válidas de formatos de entrada mixtos (por ejemplo, códigos de estado, títulos o registros sin procesar).
• Retroalimentación RCE en Vivo: Ejecuta comandos y recupera la salida directamente del digest de respuesta del servidor.

🔍 Análisis Técnico

La Vulnerabilidad (CVE-2025-55182)

Next.js App Router utiliza un formato de serialización personalizado para React Server Components (RSC). La vulnerabilidad existe en la lógica de deserialización de los encabezados Next-Action. Cuando un objeto especialmente diseñado (contaminando el __proto__) se envía a un endpoint de acción del servidor (por ejemplo, /adfa), el analizador interno puede ser forzado a ejecutar código Node.js arbitrario a través de child_process.

Flujo de Explotación

1. Reconocimiento: NextRce envía una sonda benigna para verificar los encabezados X-Powered-By: Next.js y estructuras de ruta específicas (/_next/).
2. Huella Digital: Escanea el cuerpo de la respuesta en busca del marcador de hidratación de App Router:
   • window.__next_f -> Vulnerable (App Router)
   • __NEXT_DATA__ -> Seguro (Router de Páginas)
3. Inyección de Payload: Si la arquitectura es vulnerable, NextRce construye una solicitud multipart/form-data con un objeto JSON malicioso serializado que apunta al prototipo.
4. Ejecución y Exfiltración: El payload obliga al servidor a ejecutar execSync(cmd). El stdout se codifica en base64 y se devuelve en el campo digest de la respuesta de error del servidor, que NextRce decodifica y muestra.

🛠️ Instalación

# Clonar el repositorio
git clone [https://github.com/ynsmroztas/NextRce.git](https://github.com/ynsmroztas/NextRce.git)

# Navegar al directorio
cd NextRce

# Instalar dependencias
pip install requests

💻 Ejemplos de Uso

1. Modo de Omisión de WAF (Usando NextRCSWaff.py) Use este script cuando el objetivo parezca vulnerable pero los exploits estándar estén bloqueados.

# Habilitar codificación UTF-16LE con el flag --bypass
python3 NextRCSWaff.py -u https://target.com -c "whoami" --bypass

2. Modo Pipeline / Bug Bounty Diseñado para pipelines de Linux. Canalice sus listas de subdominios directamente a la herramienta.

# Escaneo estándar
subfinder -d target.com -silent | httpx -sc -td -title -server -silent | python3 nextrce.py -c "id" -t 50

# Escaneo con omisión de WAF
subfinder -d target.com -silent | httpx -sc -td -title -server -silent | python3 NextRCSWaff.py -c "id" -B

3. Escaneo de un Solo Objetivo Pruebe un endpoint específico con un comando personalizado usando el script estándar.

python3 nextrce.py -u https://vulnerable.target.com -c "cat /etc/passwd"

4. Escaneo Masivo desde Archivo Escanee una lista de URLs desde un archivo con alta concurrencia.

python3 nextrce.py -l targets.txt -c "whoami" -t 100

5. Modo Proxy (Depuración) Enrute el tráfico a través de Burp Suite u otro proxy para análisis.

python3 nextrce.py -u https://target.com -p http://127.0.0.1:8080

⚙️ Opciones de Línea de Comandos

⚠️ Aviso Legal

Esta herramienta está desarrollada únicamente con fines educativos y de investigación en seguridad. El autor (Mitsec) no se hace responsable de ningún uso ilegal, daño o acceso no autorizado causado por esta herramienta. Siempre obtenga permiso explícito del propietario del sistema antes de realizar cualquier prueba de seguridad.

👤 Autor

NextRce es desarrollado y mantenido por Mitsec.

• Twitter/X: @ynsmroztas
• GitHub: ynsmroztas