Vérificateur de vulnérabilité CVE-2025-55182 et CVE-2025-66478

Un outil de détection non intrusif pour identifier les implémentations vulnérables de React Server Components (RSC) affectées par CVE-2025-55182 (React) et CVE-2025-66478 (Next.js). Cet outil effectue une détection active en utilisant des charges utiles bénignes et non malveillantes pour déterminer si un serveur est vulnérable sans exécuter de code nuisible.

Vue d'ensemble

CVE-2025-55182 et CVE-2025-66478 sont des vulnérabilités critiques d'exécution de code à distance (RCE) non authentifiées dans le protocole "Flight" des React Server Components. Ces vulnérabilités affectent :

• React : versions react-server-dom 19.0.0, 19.1.0, 19.1.1 et 19.2.0
• Next.js : Versions 14.3.0-canary, 15.x et 16.x (App Router)

Les vulnérabilités proviennent d'une désérialisation non sécurisée dans la logique de traitement des charges utiles RSC, permettant à des données contrôlées par l'attaquant d'influencer l'exécution côté serveur. Les configurations par défaut sont vulnérables – une application Next.js standard créée avec create-next-app peut être exploitée sans aucune modification de code.

Comment ça fonctionne

Cet outil effectue une détection active de vulnérabilités en :

1. Envoyant des charges utiles de test bénignes qui déclenchent les chemins de code vulnérables sans exécuter de code malveillant
2. Analysant les réponses d'erreur pour trouver des signatures uniques indiquant si le chemin de code vulnérable ou corrigé a été atteint
3. Fournissant des niveaux de confiance (ÉLEVÉ, MOYEN, FAIBLE) en fonction des preuves trouvées

L'outil utilise trois méthodes de détection :

• Type $F (Référence serveur) : Teste le chemin de code loadServerReference
• Type $L (Paresseux) : Teste le chemin de code arrayBuffer
• La méthode de détection d'assetnote

Important : Cet outil n'exécute AUCUN code malveillant. Il envoie uniquement des charges utiles bénignes soigneusement conçues pour déclencher des réponses d'erreur révélant l'état de vulnérabilité du serveur.

Utilisation de base

python react2shell_scanner.py --target https://example.com

Avec un identifiant d'action personnalisé

python react2shell_scanner.py --target https://example.com --action-id VOTRE_IDENTIFIANT_ACTION

Sortie détaillée

python react2shell_scanner.py --target https://example.com --verbose

Arguments en ligne de commande

Exemple de sortie

Serveur vulnérable

[+] CVE-2025-55182 and CVE-2025-66478 Vulnerability Checker

[*] Target:    https://example.com
[*] Action ID: c67c4e1a40fcc26b5e3c0d5d17f16786f4244989

[*] Test 1: Sending $F (Server Reference) payload...
    Status: 500, Evidence: workers
[*] Test 2: Sending $L (Lazy) payload...
    Status: 500, Evidence: arraybuffer

[+] Result:
[!] Status:     LIKELY VULNERABLE
[!] Confidence: HIGH
[!] Evidence:   workers
[!] Details:    Server reached loadServerReference (Flight $F deserialization bypass)

[!] RECOMMENDATION: Upgrade to patched version
======================================================================

Serveur corrigé

[+] CVE-2025-55182 and CVE-2025-66478 Vulnerability Checker

[*] Target:    https://example.com
[*] Action ID: c67c4e1a40fcc26b5e3c0d5d17f16786f4244989

[*] Test 1: Sending $F (Server Reference) payload...
    Status: 500, Evidence: could not find the module
[*] Test 2: Sending $L (Lazy) payload...
    Status: 500, Evidence: in the react server manifest

[+] Result:
[+] Status:     LIKELY NOT VULNERABLE
[+] Confidence: HIGH
[+] Evidence:   could not find the module
[+] Details:    Server rejected payload with security error (patched)
======================================================================

Méthodologie de détection

Signatures de vulnérabilité

L'outil recherche ces motifs d'erreur indiquant une vulnérabilité :

• workers – Le serveur a atteint loadServerReference (confiance ÉLEVÉE)
• arraybuffer – Le serveur a atteint le gestionnaire de type $L (confiance ÉLEVÉE)
• cannot read properties of null (reading 'id') – Le serveur a atteint loadServerReference avec des métadonnées nulles (confiance ÉLEVÉE)
• entries – L'action serveur a reçu un objet désérialisé au lieu de FormData (confiance MOYENNE)
• temporary client reference – Le serveur a traité une référence de type $T (confiance MOYENNE)

Signatures de correction

Ces motifs d'erreur indiquent que le serveur est corrigé :

• could not find the module
• in the react server manifest
• Invalid server reference
• Server reference not found
• Unexpected token
• is probably a bug in the react server components bundler

Produits affectés

D'autres frameworks utilisant RSC peuvent également être affectés :

• Plugin RSC de Vite
• Plugin RSC de Parcel
• Aperçu RSC de React Router
• RedwoodSDK
• Waku

Correction

Action immédiate requise : Mettez à niveau vers les versions corrigées :

• React : Mettez à niveau vers react-server-dom 19.0.1, 19.1.2 ou 19.2.1
• Next.js : Mettez à niveau vers la dernière version corrigée (voir le tableau ci-dessus)
• Autres frameworks RSC : Vérifiez les canaux officiels pour les mises à jour concernant les versions intégrées de react-server

Avis de sécurité

Cet outil est conçu pour les tests de sécurité défensifs et l'évaluation des vulnérabilités. Il utilise uniquement des charges utiles bénignes qui n'exécutent pas de code malveillant. Cependant :

• Utilisez cet outil uniquement sur les systèmes que vous possédez ou pour lesquels vous avez une autorisation explicite de test
• L'outil peut générer des journaux d'erreur sur le serveur cible
• Utilisez-le de manière responsable et conformément aux lois et réglementations applicables

Clause de non-responsabilité

Cet outil est fourni "en l'état" sans garantie. Les auteurs ne sont pas responsables de toute utilisation abusive ou de tout dommage causé par cet outil. Assurez-vous toujours d'avoir les autorisations appropriées avant de tester un système.