Exploit React2Shell

Preuve de concept (PoC) pour la vulnérabilité d'exécution de code à distance dans React Server Components (RSC) / Next.js.

Description

Une vulnérabilité d'exécution de code à distance avant authentification existe dans React Server Components versions 19.0.0, 19.1.0, 19.1.1 et 19.2.0 incluant les packages suivants : react-server-dom-parcel, react-server-dom-turbopack et react-server-dom-webpack. Le code vulnérable désérialise de manière non sécurisée les charges utiles des requêtes HTTP vers les points de terminaison Server Function.

Avertissement

⚠️ AVERTISSEMENT : Cet outil est destiné uniquement aux tests de sécurité autorisés.

• Utilisez cet outil uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation écrite explicite de tester.
• L'accès non autorisé aux systèmes informatiques est illégal.
• Les tests relèvent de votre propre responsabilité.
• Les auteurs ne sont pas responsables de toute utilisation abusive ou de tout dommage.

Prérequis

• Go 1.16 ou supérieur

Installation

go build -o exploit exploit.go

Ou exécutez directement :

go run exploit.go

Utilisation

./exploit -u <URL> -c <commande>

Options

• -u - URL cible (obligatoire)
• -c - Commande à exécuter (par défaut : id)

Exemples

# Utilisation de base
./exploit -u https://vulnerable -c "whoami"

# Exécuter une commande différente
./exploit -u https://vulnerable -c "ls -la"

# Exécuter directement avec go
go run exploit.go -u https://vulnerable -c "pwd"

Capture d'écran

Sortie

L'outil produit :

• Code d'état HTTP
• Sortie d'exécution de la commande (si réussie)

Références

• Rapport FortiGuard Threat Signal - Vulnérabilité RCE React2Shell
• CVE-2025-55182 - NVD