CVE-2025-55182 // REACT SERVER COMPONENTS RCE

[ अवलोकन ] CVE-2025-55182 के लिए एक्सप्लॉइट PoC। React Server Components में असुरक्षित संस्करणों और इनपुट वैलिडेशन फंक्शन की कमज़ोरियों को लक्षित करता है।

[ तकनीकी तंत्र ]

• वेक्टर : हाइड्रेशन के दौरान $1:__proto__:then के माध्यम से प्रोटोटाइप प्रदूषण।
• पेलोड : process.mainModule.require('child_process') के माध्यम से RCE।
• एक्सफ़िल : X-Action-Redirect हेडर के माध्यम से डेटा लीकेज।

[ आवश्यकताएँ ]

• python3
• requests

[ रणनीतियाँ ]

• standard : सीधा child_process निष्पादन।
• obfuscated : बुनियादी WAF पैटर्न मिलान के लिए हेक्स एन्कोडिंग बायपास सुविधा।

[ अस्वीकरण ] केवल अधिकृत सुरक्षा अनुसंधान और शैक्षिक उद्देश्यों के लिए।

[ उपयोग ]

बुनियादी जाँच

python3 exploit.py -t -c "id"

WAF बायपास प्रयास

python3 exploit.py -t -c "cat /etc/passwd (RCE कमांड)" -s obfuscated