React2Shell (CVE-2025-55182) — Démo de sécurité locale RSC

⚠️ AVERTISSEMENT Ce dépôt est destiné uniquement à la recherche en sécurité éducative et défensive.

Ne PAS essayer d'exécuter ce code contre :

• Systèmes de production
• Sites web publics
• Serveurs que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation explicite de test

L'exploitation non autorisée de vulnérabilités peut être illégale.

---

📌 Vue d'ensemble

Ce dépôt démontre l'impact réel de React2Shell (CVE-2025-55182) — une vulnérabilité critique d'exécution de code à distance (RCE) affectant les composants serveur React (RSC) et les frameworks tels que Next.js.

La démo montre comment la désérialisation non sécurisée dans des environnements vulnérables peut conduire à :

• Exécution de code côté serveur
• Accès au système de fichiers
• Énumération de répertoires

Tous les tests ont été effectués localement dans un environnement contrôlé.

---

🧪 Scénarios de démonstration

Le script de démonstration contient trois exemples isolés :

1. Preuve minimale de RCE

   • Enregistre un message provenant de l'exécution côté serveur

2. Écriture dans le système de fichiers

   • Crée un fichier dans le répertoire de travail du serveur

3. Énumération de répertoires

   • Liste les fichiers du répertoire du processus serveur

Ces exemples sont intentionnellement simples pour mettre en évidence l'impact, et non l'exploitation.

---

🔧 Étapes de simulation de haut niveau (local uniquement)

1. Créer une application de test Next.js locale
2. L'exécuter dans un environnement de développement contrôlé
3. S'assurer que l'environnement reflète une configuration vulnérable
4. Exécuter le script de démonstration depuis un contexte de navigateur
5. Observer les journaux côté serveur et les modifications du système de fichiers

⚠️ Aucun déploiement public n'est nécessaire ni recommandé.

---

🛡️ Conseils d'atténuation

Si vous utilisez des composants serveur React :

• Mettre à jour React et Next.js vers des versions corrigées immédiatement
• Auditer les actions serveur et les limites RSC
• Traiter la sérialisation/désérialisation comme une surface à haut risque
• Surveiller les journaux serveur pour détecter des charges utiles RSC anormales

---

📚 Références

• Site officiel de React2Shell : https://react2shell.com/
• Avis de sécurité de React :
  https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
• Recherche originale et PoC :
  https://github.com/lachlan2k/React2Shell-CVE-2025-55182-original-poc

---

⚖️ Avis légal et éthique

Ce projet est destiné à sensibiliser et aider les développeurs à comprendre la gravité des vulnérabilités RCE.

L'auteur n'est pas responsable de l'utilisation abusive de ce code.