NextRce - Outil d'exploitation RSC Next.js (CVE-2025-55182)

Scanner et Exploitant de Vulnérabilité Avancé pour Next.js App Router

Développé par Mitsec

🔥 Nouvelle Fonctionnalité : Mode Contournement WAF (UTF-16LE)

Les charges utiles standard contenant des mots-clés comme child_process ou execSync sont souvent bloquées par les pare-feux d'application Web (WAF).

NextRCSWaff.py utilise un moteur d'encodage spécialisé UTF-16LE (Little Endian). En encodant la charge malveillante dans ce format spécifique, la séquence d'octets change complètement, la rendant invisible pour la plupart des WAF basés sur des signatures. Cependant, le serveur Next.js (Node.js) décode et exécute correctement la commande.

Preuve de concept : La capture d'écran ci-dessus montre une charge utile standard bloquée (en haut), suivie d'une exécution RCE réussie en utilisant NextRCSWaff.py avec le drapeau --bypass (en bas).

📖 Description

NextRce est un outil de sécurité multithread haute performance conçu pour détecter et exploiter CVE-2025-55182. Il cible spécifiquement l'implémentation des React Server Components (RSC) dans l'architecture App Router de Next.js.

En manipulant le processus de sérialisation dans les Actions Serveur, NextRce injecte une charge utile fabriquée pour obtenir une Exécution de Code à Distance (RCE) sur les instances vulnérables. Il dispose d'un moteur de détection intelligent qui distingue automatiquement les architectures App Router vulnérables des routeurs Pages Router hérités et sécurisés, garantissant l'efficacité lors des analyses de masse.

🚀 Fonctionnalités Clés

• 🛡️ Contournement WAF (NextRCSWaff.py) : Utilise l'encodage UTF-16LE pour échapper à la détection WAF tout en préservant l'intégrité de la charge utile côté serveur.
• Détection Intelligente d'Architecture : Analyse heuristiquement le DOM (recherche de window.__next_f) pour identifier les cibles App Router vulnérables par rapport aux sites Pages Router hérités.
• Prêt pour Pipeline et CI/CD : Supporte pleinement le piping via stdin. S'intègre parfaitement avec des outils de reconnaissance comme subfinder, httpx et gau.
• Moteur d'Analyse de Masse : ThreadPoolExecutor intégré permet de scanner des milliers de domaines simultanément avec une surcharge de ressources minimale.
• Analyse Automatique : Extrait automatiquement les URL valides à partir de formats d'entrée mélangés (par exemple, codes de statut, titres ou journaux bruts).
• Retour RCE en Direct : Exécute les commandes et récupère la sortie directement depuis le digest de réponse du serveur.

🔍 Analyse Technique

La Vulnérabilité (CVE-2025-55182)

Next.js App Router utilise un format de sérialisation personnalisé pour les React Server Components (RSC). La vulnérabilité réside dans la logique de désérialisation des en-têtes Next-Action. Lorsqu'un objet spécialement conçu (polluant le __proto__) est envoyé à un point de terminaison d'action serveur (par exemple, /adfa), l'analyseur interne peut être contraint d'exécuter du code Node.js arbitraire via child_process.

Workflow d'Exploitation

1. Reconnaissance : NextRce envoie une sonde bénigne pour vérifier la présence d'en-têtes X-Powered-By: Next.js et des structures de chemin spécifiques (/_next/).
2. Empreinte : Il analyse le corps de la réponse à la recherche du marqueur d'hydratation App Router :
   • window.__next_f -> Vulnérable (App Router)
   • __NEXT_DATA__ -> Sûr (Pages Router)
3. Injection de la Charge Utile : Si l'architecture est vulnérable, NextRce construit une requête multipart/form-data avec un objet JSON malveillant sérialisé ciblant le prototype.
4. Exécution et Exfiltration : La charge utile force le serveur à exécuter execSync(cmd). La sortie standard (stdout) est encodée en base64 et renvoyée dans le champ digest de la réponse d'erreur du serveur, que NextRce décode et affiche.

🛠️ Installation

# Clonez le dépôt
git clone [https://github.com/ynsmroztas/NextRce.git](https://github.com/ynsmroztas/NextRce.git)

# Naviguez dans le répertoire
cd NextRce

# Installez les dépendances
pip install requests

💻 Exemples d'Utilisation

1. Mode Contournement WAF (Utilisation de NextRCSWaff.py) Utilisez ce script lorsque la cible semble vulnérable mais que les exploits standard sont bloqués.

# Activez l'encodage UTF-16LE avec le drapeau --bypass
python3 NextRCSWaff.py -u https://target.com -c "whoami" --bypass

2. Mode Pipeline / Bug Bounty Conçu pour les pipelines Linux. Dirigez vos listes de sous-domaines directement dans l'outil.

# Analyse standard
subfinder -d target.com -silent | httpx -sc -td -title -server -silent | python3 nextrce.py -c "id" -t 50

# Analyse avec contournement WAF
subfinder -d target.com -silent | httpx -sc -td -title -server -silent | python3 NextRCSWaff.py -c "id" -B

3. Analyse d'une Cible Unique Testez un point de terminaison spécifique avec une commande personnalisée en utilisant le script standard.

python3 nextrce.py -u https://vulnerable.target.com -c "cat /etc/passwd"

4. Analyse de Masse depuis un Fichier Scannez une liste d'URL provenant d'un fichier avec une concurrence élevée.

python3 nextrce.py -l targets.txt -c "whoami" -t 100

5. Mode Proxy (Débogage) Acheminez le trafic via Burp Suite ou un autre proxy pour analyse.

python3 nextrce.py -u https://target.com -p http://127.0.0.1:8080

⚙️ Options de Ligne de Commande

⚠️ Avertissement

Cet outil est développé uniquement à des fins éducatives et de recherche en sécurité. L'auteur (Mitsec) n'est pas responsable de toute utilisation illégale, de tout dommage ou de tout accès non autorisé causé par cet outil. Obtenez toujours une autorisation explicite du propriétaire du système avant d'effectuer des tests de sécurité.

👤 Auteur

NextRce est développé et maintenu par Mitsec.

Twitter/X : @ynsmroztas

GitHub : ynsmroztas