CVE-2025-55182 - React RSC RCE

PoC pour la vuln de deserialisation dans le protocole Flight de React Server Components.

C'est quoi ?

Next.js 14+ et React 19 utilisent un protocole proprio ("Flight") pour communiquer entre client et serveur. Le probleme : le serveur charge n'importe quel module sans verifier. Du coup on peut lui faire executer child_process et boom, RCE.

Usage

python CVE-2025-55182.py -t <IP> -p <PORT> --cmd "id"

Versions touchees

• Next.js < 14.2.21
• Next.js < 15.1.2
• React < 19.2.1

Fix

Mets a jour tes deps. C'est tout.

Disclaimer

A utiliser uniquement sur des systemes que tu possedes ou avec autorisation ecrite. Je suis pas responsable si tu fais des betises.