React2Shell संवेदनशील बैंकिंग एप्लिकेशन लैब

CVE-2025-55182 (React) और CVE-2025-66478 (Next.js) के लिए जानबूझकर संवेदनशील बैंकिंग ऐप, React2Shell को सीखने, पता लगाने और सुरक्षित रूप से अभ्यास करने के लिए। यह अनपैच किए गए React 19.0.0 और Next.js 15.0.3 पर चलता है।

अवलोकन

• काल्पनिक SecureBank Next.js App Router और Server Actions के साथ बनाया गया।
• डिफ़ॉल्ट कॉन्फ़िगरेशन, कोई कस्टम खतरनाक कोड नहीं, जानबूझकर अनपैच छोड़ा गया।
• RSC “Flight” प्रोटोकॉल में असुरक्षित डिसीरियलाइज़ेशन का अध्ययन करने और पहचान/शमन का अभ्यास करने के लिए डिज़ाइन किया गया।

त्वरित आरंभ (Docker अनुशंसित)

# 1. Start the lab
docker-compose up -d

# 2. Open the app
http://localhost:3000

# 3. Stop when done
docker-compose down

डेमो क्रेडेंशियल्स:

admin / admin123
johndoe / password123
janedoe / password456

मैन्युअल सेटअप और डेव मोड

प्रोडक्शन-जैसा मैन्युअल रन:

npm install --legacy-peer-deps
npm run build
npm start
# Visit http://localhost:3000

हॉट रीलोड के साथ डेवलपमेंट:

npm install --legacy-peer-deps
npm run dev

नोट्स:

• हमेशा --legacy-peer-deps का उपयोग करें क्योंकि जानबूझकर वर्जन पिनिंग की गई है।
• यदि पोर्ट 3000 व्यस्त है, तो docker-compose.yml में मैपिंग बदलें (जैसे, 3001:3000) या शुरू करने से पहले PORT को export करें।

त्वरित परिचालन स्थिति

• कंटेनर: react2shell-vulnerable-bank
• पोर्ट: 3000 (HTTP 200 OK की अपेक्षा करता है)
• संवेदनशील संस्करण: React 19.0.0, Next.js 15.0.3

सहायक कमांड्स:

docker-compose ps
docker-compose logs -f vulnerable-bank
docker-compose restart
docker-compose build --no-cache && docker-compose up -d

भेद्यता सारांश (React2Shell)

• CVE-2025-55182 (React) और CVE-2025-66478 (Next.js) RSC में असुरक्षित डिसीरियलाइज़ेशन के माध्यम से बिना प्रमाणीकरण के RCE की अनुमति देते हैं।

प्रासंगिक प्रभावित संस्करण:

• React: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Next.js: >=14.3.0-canary.77, सभी 15.x, 16.x अनपैच

शोषण वास्तविकता

• डिफ़ॉल्ट ऐप के लिए कोई सार्वजनिक रूप से ज्ञात RCE शोषण नहीं; react2shell.com कहता है “Watch this space.”
• वे PoCs जो मैन्युअल रूप से child_process, vm, या fs को उजागर करते हैं, प्रतिनिधि नहीं हैं।

संदर्भ

• Vercel/Next.js सलाह: https://github.com/vercel/next.js/security/advisories/GHSA-9qr9-h5gf-34mp
• द हैकर न्यूज़: https://thehackernews.com/2025/12/critical-rsc-bugs-in-react-and-nextjs.html
• Slcyber RSC पहचान: https://slcyber.io/research-center/high-fidelity-detection-mechanism-for-rsc-next-js-rce-cve-2025-55182-cve-2025-66478/
• Assetnote React2Shell स्कैनर: https://github.com/assetnote/react2shell-scanner
• React2Shell जानकारी हब: https://react2shell.com/
• Wiz विश्लेषण: https://www.wiz.io/blog/critical-vulnerability-in-react-cve-2025-55182
• Akamai अनुसंधान: https://www.akamai.com/blog/security-research/cve-2025-55182-react-nextjs-server-functions-deserialization-rce