Prérequis

• Node.js 18+
• Docker et Docker Compose (optionnel, pour le déploiement conteneurisé)
• npm ou yarn

Installation

Développement local

1. Clonez ou téléchargez ce dépôt
2. Installez les dépendances :
   root@kitploit:~

   npm install
   

3. Démarrez le serveur :
   root@kitploit:~

   npm start
   

4. Accédez à l'application sur http://localhost:3000

Déploiement Docker

1. Construisez et exécutez avec Docker Compose :

   root@kitploit:~

   docker-compose up --build
   

   Ou construisez et exécutez manuellement :

   root@kitploit:~

   docker build -t react-cve-demo .
   docker run -p 3000:3000 react-cve-demo
   

2. Accédez à l'application sur http://localhost:3000

Flux d'utilisation

Flux d'authentification normal

1. Accédez à l'application : Allez sur http://localhost:3000
2. Page de connexion : Vous verrez un formulaire de connexion
3. Identifiants par défaut :
   • Nom d'utilisateur : admin, Mot de passe : securepassword123
   • Nom d'utilisateur : user1, Mot de passe : password123
4. Connexion réussie : Vous serez redirigé vers le tableau de bord protégé
5. Déconnexion : Cliquez sur le bouton de déconnexion pour revenir à la page de connexion

Démonstration de la vulnérabilité

La vulnérabilité réside dans le mécanisme de désérialisation du protocole RSC Flight. L'exploitation :

1. Crée une charge utile sérialisée malveillante ciblant les points d'accès des fonctions serveur
2. Exploite une désérialisation non sécurisée pour exécuter du JavaScript arbitraire
3. Crée une nouvelle entrée utilisateur dans le fichier JSON
4. Contourne l'authentification en utilisant les nouveaux identifiants

Exécution de l'exploit POC

Option 1 : Script Node.js

Ou avec une URL cible personnalisée :

Option 2 : Script Bash

Ou avec une URL cible personnalisée :

Option 3 : Commande curl manuelle

Version en une ligne :

Version multi-lignes (pour la lisibilité) :

Note : Une commande en une ligne prête à copier-coller est également disponible dans exploit/curl-oneline.txt

Après l'exploitation

1. L'exploit crée un nouvel utilisateur dans data/users.json
2. Vous pouvez maintenant vous connecter avec les identifiants créés :
   • Nom d'utilisateur : hacker
   • Mot de passe : hacked123
3. Cela montre comment la vulnérabilité peut contourner l'authentification

Détails techniques

Vulnérabilité (CVE-2025-55182)

La vulnérabilité existe dans React Server Components 19.1.1, plus précisément dans :

• Composant : react-server-dom-webpack
• Version : 19.1.1 (vulnérable)
• Problème : Désérialisation non sécurisée dans le protocole RSC Flight
• Impact : Exécution de code à distance (RCE)
• CVSS : Critique

Implémentation du serveur

Le serveur (server.js) implémente :

• Serveur HTTP Express.js
• Point d'accès du protocole RSC Flight (/rsc)
• Exécution de fonctions serveur (point d'accès vulnérable)
• Gestion des sessions
• Service de fichiers statiques

Système d'authentification

• Composant de connexion : Formulaire côté client pour nom d'utilisateur/mot de passe
• Composant serveur d'authentification : Logique d'authentification côté serveur
• Stockage des utilisateurs : Fichier JSON (data/users.json) stockant les identifiants
• Routes protégées : Le tableau de bord nécessite une authentification

Protocole RSC Flight

Le point d'accès du protocole RSC Flight accepte :

• action: "callServerFunction" : Exécuter des fonctions serveur
• action: "renderRSC" : Rendre des composants serveur React

La vulnérabilité réside dans la manière dont les appels de fonctions serveur sont désérialisés et exécutés.

Considérations de sécurité

⚠️ Avertissements critiques

1. Environnement isolé : Exécuter uniquement dans des environnements contrôlés et isolés
2. Pas d'utilisation en production : Ne jamais déployer de code vulnérable en production
3. Isolement réseau : Ne pas exposer à des réseaux non fiables
4. Usage éducatif : Uniquement pour la recherche en sécurité et l'éducation
5. Conformité légale : Assurez-vous d'obtenir les autorisations nécessaires avant de tester

Bonnes pratiques

• Utilisez une VM ou un conteneur dédié pour les tests
• Désactivez l'accès réseau sauf pour localhost
• Ne stockez pas de données sensibles dans l'environnement de test
• Nettoyez les données de test après la démonstration
• Suivez les pratiques de divulgation responsable

Dépendances

• React : 19.1.1 (version vulnérable)
• react-server-dom-webpack : 19.1.1 (paquet vulnérable)
• Express.js : ^4.18.2
• express-session : ^1.17.3
• Node.js : 18+

Dépannage

Le serveur ne démarre pas

• Vérifiez que le port 3000 n'est pas déjà utilisé
• Vérifiez que la version de Node.js est 18 ou supérieure
• Assurez-vous que toutes les dépendances sont installées (npm install)

L'exploit ne fonctionne pas

• Vérifiez que le serveur est en cours d'exécution
• Vérifiez que le point d'accès RSC est accessible
• Examinez les journaux du serveur pour détecter les erreurs
• Assurez-vous que le script d'exploitation a les autorisations appropriées

Problèmes Docker

• Assurez-vous que Docker est en cours d'exécution
• Vérifiez la compatibilité de version de Docker Compose
• Vérifiez que le port 3000 est disponible
• Examinez les journaux Docker : docker-compose logs

Références

• CVE-2025-55182 : Vulnérabilité React2Shell
• Documentation de React Server Components
• Spécification du protocole RSC Flight

Licence

Licence MIT - À des fins éducatives uniquement

Avis de non-responsabilité

Ce logiciel est fourni à des fins éducatives et de recherche en sécurité uniquement. Les auteurs et contributeurs ne sont pas responsables de toute utilisation abusive ou de tout dommage causé par ce logiciel. Utilisez-le à vos risques et périls et assurez-vous de respecter toutes les lois et réglementations applicables.