CVE-2025-55182

Application vulnérable

Construire et exécuter :

docker compose build
docker compose run --rm --entrypoint 'npm install' node
docker compose run --rm --entrypoint 'npm run build' node
docker compose up

POC (depuis https://github.com/msanft/CVE-2025-55182) :

node poc.js

Expérimentation avec unbundled :

yarn --immutable

node --conditions react-server app.js

CodeQL

Cloner facebook/react et créer unbundled :

yarn --immutable

yarn cross-env RELEASE_CHANNEL=experimental node ./scripts/rollup/build.js react-server-dom-webpack/ --type=NODE_DEV

cp ./build/node_modules/react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.unbundled.development.js \
    codeql/${version}/

Préparer CodeQL :

codeql database create db -l javascript -s codeql

cd queries && codeql pack install

codeql query run ./queries/PrototypeTraversal.ql -d db

TODO

• Ajouter une requête pour trouver Promise.resolve(userData)
  • devrait trouver toutes les fonctions async qui se résolvent avec un objet défini par l'utilisateur
  • c'est l'emplacement immédiat des problèmes d'exécution de code
• Ajouter une requête pour trouver await non-native-promise
  • devrait trouver tous les await de fonctions qui ne retournent pas une promesse native
  • un appelant pourrait utiliser par erreur await sur une méthode qui retourne (parfois) des données brutes

Résultats

Il a détecté l'utilisation corrigée dans getOutlinedModel (ajout de hasOwnProperty.call) et celle supprimée dans createModelResolver (maintenant fulfillReference).

Je ne sais pas pourquoi le premier et le second pointent vers le même emplacement, alors que celui extrait dans vuln.js ne le fait pas.

Exemples

Dans codeql/tests.js il y a ces trois variantes :

var value = {};
for (let i = 0; i < path.length; i++) {
  value = value[path[i]] // VarAccess
}

var value = {};
for (let i = 0; i < path.length; i++) {
  let c = value[path[i]] // VarDecl
  value = c
}

var value = {};
for (let i = 0; i < path.length; i++) {
  let c
  c = value[path[i]] // use VarRef
  value = c
}

Référence : https://codeql.github.com/docs/codeql-language-guides/abstract-syntax-tree-classes-for-working-with-javascript-and-typescript-programs/