Labo CTF React-2025 : CVE-2025-55182

Aperçu

Ce dépôt contient un laboratoire Capture The Flag (CTF) conçu strictement à des fins éducatives et de recherche en sécurité.

L'environnement propose une vitrine e-commerce factice vulnérable ("Quantum Supplies") sous Next.js 16, spécialement construite pour démontrer et pratiquer l'exploitation de la CVE-2025-55182, une vulnérabilité critique de désérialisation dans le protocole Flight des React Server Components.

(Un lien vers un guide détaillé Notion sera fourni prochainement).

Structure du dépôt

• /app : Contient le code source complet de l'application web Next.js vulnérable, incluant la base de données factice, le style personnalisé Dark Liquid Glass UI, et les actions serveur vulnérables.
• /documents : Contient des logs et des questions/réponses détaillant l'architecture de l'application et les mécanismes de vulnérabilité tels que nous avons construit cet environnement de laboratoire avec l'IA.
• /solution : Contient une série de documents d'analyse détaillée utilisés pour valider l'application. Cela inclut le script finalisé solve.py, des guides pas à pas pour l'exploitation manuelle avec Burp Suite, et des réponses approfondies expliquant la structure de la charge utile Flight React (solution6.md, etc.).

Démarrer ce serveur

L'application est entièrement conteneurisée via Docker pour une recherche sécurisée. Pour lancer le serveur vulnérable et le backend factice, exécutez les commandes suivantes depuis le répertoire racine :