React2Shell (CVE-2025-55182) - Preuve de Concept

Une preuve de concept exhaustive et une ressource éducative pour CVE-2025-55182, une vulnérabilité critique d'exécution de code à distance affectant les composants serveur React avec un score CVSS de 10.0.

Avertissement légal

À DES FINS ÉDUCATIVES ET DE TEST AUTORISÉ UNIQUEMENT

Cet outil est fourni à des fins éducatives et de test de sécurité autorisé uniquement. L'accès non autorisé à des systèmes informatiques est illégal en vertu de diverses lois, notamment le Computer Fraud and Abuse Act (CFAA) aux États-Unis et des législations similaires dans le monde entier.

Vous devez :

• Utiliser cet outil uniquement sur des systèmes que vous possédez ou pour lesquels vous avez reçu une autorisation écrite explicite de test
• Vous conformer à toutes les lois locales, étatiques et fédérales applicables
• Utiliser cet outil de manière responsable et éthique

L'auteur et les contributeurs :

• Ne sont pas responsables de toute utilisation abusive ou de tout dommage causé par cet outil
• N'approuvent ni n'encouragent l'accès non autorisé à des systèmes informatiques
• Fournissent cet outil strictement à des fins éducatives et de sécurité défensive

En utilisant cet outil, vous reconnaissez avoir compris et accepté ces conditions.

📋 Table des matières

• Vue d'ensemble
• Détails de la vulnérabilité
• Versions affectées
• Analyse technique
• Installation
• Utilisation
• Détection
• Remédiation
• Configuration de l'environnement de laboratoire
• Références
• Contributions
• Auteur

🎯 Vue d'ensemble

React2Shell est une vulnérabilité critique découverte en décembre 2025 qui affecte les composants serveur React (RSC) et les frameworks qui les implémentent, en particulier Next.js. La vulnérabilité permet l'exécution de code à distance non authentifiée via une seule requête HTTP spécialement conçue.

Ce dépôt contient :

• ✅ Script d'exploitation Python automatisé
• ✅ Analyse technique détaillée
• ✅ Règles de détection (Snort, OSQuery)
• ✅ Guide de configuration de l'environnement de laboratoire
• ✅ Documentation complète

🔍 Détails de la vulnérabilité

Champ	Détails
Identifiant CVE	CVE-2025-55182
Score CVSS	10.0 (Critique)
Vecteur d'attaque	Réseau
Complexité de l'attaque	Faible
Privilèges requis	Aucun
Interaction utilisateur	Aucune
Impact	Compromission complète du système (RCE)
Date de divulgation	Décembre 2025

Qu'est-ce qui rend cela critique ?

1. Aucune authentification requise – Exploitable par tout attaquant non authentifié
2. Configurations par défaut vulnérables – Les applications Next.js standard créées avec create-next-app sont exploitables
3. Haute fiabilité – Taux de réussite d'exploitation proche de 100 %
4. Surface d'attaque étendue – Plus de 571 000 serveurs publics exécutant des composants React (données Shodan)
5. Impact sévère – Exécution complète de code à distance avec les privilèges du processus Node.js

📦 Versions affectées

Composants serveur React

Versions vulnérables :

• react-server-dom-webpack : 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-parcel : 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-turbopack : 19.0.0, 19.1.0, 19.1.1, 19.2.0

Versions corrigées :

• React 19.0.1
• React 19.1.2
• React 19.2.1

Next.js

Versions vulnérables :

• Toutes les versions ≥14.3.0-canary.77
• Toutes les versions 15.x (avant correctif)
• Toutes les versions 16.x (avant correctif)

Versions corrigées :

• Consultez les versions de Next.js pour les mises à jour intégrant les correctifs React

Autres frameworks affectés

• React Router (en mode RSC)
• Waku
• Redwood SDK
• Divers frameworks compatibles RSC

🔬 Analyse technique

Cause racine

La vulnérabilité existe dans la fonction requireModule au sein de la logique de désérialisation des composants serveur React :

function requireModule(metadata) {  
  var moduleExports = __webpack_require__(metadata[0]);  
  return moduleExports[metadata[2]];  // LIGNE VULNÉRABLE - Parcours de la chaîne de prototypes
}

La faille permet aux attaquants de parcourir la chaîne de prototypes de JavaScript via le protocole React Flight, accédant au constructeur Function via des propriétés comme constructor.constructor, permettant l'exécution de code arbitraire.

Chaîne d'exploitation

1. Création de bloc factice – L'attaquant envoie des données multipart/form-data avec un objet bloc falsifié
2. Pollution de prototype – Exploite __proto__ pour créer une structure auto-référentielle
3. Abus du gestionnaire Blob – Déclenche le gestionnaire de désérialisation Blob interne de React
4. Accès au constructeur Function – Parcourt constructor.constructor pour accéder à Function()
5. Exécution de code – Injecte du JavaScript arbitraire via child_process.execSync()

Schéma du déroulement de l'attaque

┌─────────────────────────────────────────────────────────────┐
│  L'attaquant envoie multipart/form-data avec en-tête Next-Action │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  Le serveur désérialise la charge utile via le protocole React Flight │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  Traitement de l'objet bloc factice avec pollution __proto__  │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  Le gestionnaire Blob invoque _formData.get(_prefix + id)   │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  Résout en Function("malicious_code")                        │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  Code arbitraire exécuté avec les privilèges du processus Node.js │
└─────────────────────────────────────────────────────────────┘

🚀 Installation

Prérequis

• Python 3.7 ou supérieur
• Bibliothèque requests

Configuration

# Cloner le dépôt
git clone https://github.com/yourusername/react2shell-poc.git
cd react2shell-poc

# Installer les dépendances
pip install -r requirements.txt

# Rendre le script exécutable (Linux/macOS)
chmod +x react2shell.py

Requirements.txt

requests>=2.31.0
urllib3>=2.0.0

💻 Utilisation

Utilisation de base

python3 react2shell.py

Session interactive

╔═══════════════════════════════════════════════════════════╗
║           React2Shell (CVE-2025-55182) PoC                ║
║                 CVSS 10.0 - RCE Critique                  ║
║                                                           ║
║  Affecté : React 19.0.0, 19.1.0, 19.1.1, 19.2.0          ║
║           Next.js ≥14.3.0-canary.77, 15.x, 16.x          ║
║                                                           ║
║  Cerberus Secure - Usage en laboratoire uniquement        ║
╚═══════════════════════════════════════════════════════════╝