Scanner CVE-2025-55182

Un scanner de preuve de concept pour CVE-2025-55182, une vulnérabilité critique d'exécution de code à distance (RCE) non authentifiée dans les composants serveur React (RSC).

Aperçu

Le 3 décembre 2025, une vulnérabilité critique a été divulguée affectant les applications React 19.x et Next.js utilisant les composants serveur React. Le défaut réside dans la logique de désérialisation du protocole RSC "Flight", permettant aux attaquants d'exécuter du code arbitraire sur le serveur via des requêtes HTTP spécialement conçues.

Gravité

Impact

• Exécution de code à distance non authentifiée
• Compromission complète du serveur
• Vol d'identifiants à partir des variables d'environnement
• Exfiltration des métadonnées cloud
• Mouvement latéral au sein de l'infrastructure

Versions affectées

Utilisation

Scan d'une seule cible

go run ./cmd/main.go -t https://example.com

Cible unique avec shell interactif

go run ./cmd/main.go -t https://example.com -shell

Scan par lot à partir d'un fichier

go run ./cmd/main.go -f targets.txt -c 20

Exporter les résultats

go run ./cmd/main.go -f targets.txt -json results.json -csv results.csv

Options

Exemple de sortie

React2Shell Scanner v1.0.0
CVE-2025-55182 | React Server Components RCE
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

[+] VULN  https://app.example.com/ 142ms
[-] SAFE  https://api.example.com/ 203ms
[!] ERROR https://internal.example.com/ (timeout) 15000ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
SCAN TERMINÉ

  Cibles scannées :    3
  Vulnérables :         1 (33%)
  Sûres :               1
  Erreurs :             1

  Durée :           15.4s
  Temps de réponse moyen :       5115ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
CIBLES VULNÉRABLES

  1. https://app.example.com/

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
CORRECTIF

  Mettez à niveau vers les versions corrigées :

  Next.js :
    15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

  react-server-dom :
    19.0.1, 19.1.2, 19.2.1

Détails techniques

La vulnérabilité réside dans la gestion des charges utiles sérialisées par le protocole RSC "Flight". Lors du traitement de données de formulaire multipart spécialement conçues, le serveur ne parvient pas à valider correctement la structure de la charge utile, permettant une pollution de prototype qui conduit à une exécution de code arbitraire.

Vecteur d'attaque

1. L'attaquant envoie une charge utile RSC malformée via une requête POST
2. Le serveur désérialise la charge utile sans validation appropriée
3. La pollution de prototype permet l'accès au constructeur
4. Du JavaScript arbitraire s'exécute dans le contexte Node.js
5. La sortie de la commande est exfiltrée via l'en-tête de redirection

Détection

Recherchez les requêtes POST contenant :

• En-tête Next-Action
• Données de formulaire multipart avec des références __proto__
• Réponses X-Action-Redirect inhabituelles

Correctif

1. Immédiat : Mettez à niveau vers les versions corrigées listées ci-dessus
2. Règles WAF : Bloquez les requêtes contenant __proto__ dans le corps
3. Surveillance : Alertez sur les modèles suspects d'en-tête Next-Action
4. Réseau : Restreignez les connexions sortantes depuis les serveurs Next.js

Avis de non-responsabilité

USAGE INTERNE UNIQUEMENT

Cet outil est destiné uniquement aux tests de sécurité autorisés. Utilisez-le uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation explicite de test. L'accès non autorisé à des systèmes informatiques est illégal.

Références

• Avis de recherche Wiz
• Bulletin de sécurité React
• Avis de Vercel

Licence

Usage interne uniquement. Ne pas distribuer.