R2S - React2Shell स्कैनर

React Server Components में CVE-2025-55182 के लिए एक वेब-आधारित भेद्यता स्कैनर, जो एक गंभीर Remote Code Execution (RCE) भेद्यता है।

लाइव स्कैनर: https://r2s.mxm0z.com

CVE-2025-55182 के बारे में

CVE-2025-55182, React Server Components Flight प्रोटोकॉल में एक गंभीर (CVSS 10.0) भेद्यता है, जो बिना प्रमाणीकरण वाले हमलावरों को विशेष रूप से तैयार HTTP अनुरोधों के माध्यम से कमजोर Next.js सर्वरों पर मनमाना कोड निष्पादित करने की अनुमति देती है।

प्रभावित संस्करण

पैकेज	कमजोर	पैच किया गया
React	19.0.0	19.0.1
React	19.1.0 - 19.1.1	19.1.2
React	19.2.0	19.2.1
Next.js	15.0.0 - 15.0.4	15.0.5
Next.js	15.1.0 - 15.1.8	15.1.9
Next.js	15.2.0 - 15.2.5	15.2.6
Next.js	15.3.0 - 15.3.5	15.3.6
Next.js	15.4.0 - 15.4.7	15.4.8
Next.js	15.5.0 - 15.5.6	15.5.7
Next.js	16.0.0 - 16.0.6	16.0.7

यह कैसे काम करता है

यह स्कैनर लक्ष्य URL पर एक सुरक्षित डिटेक्शन पेलोड भेजता है। यह पेलोड "_prefix":"1" का उपयोग करता है, जो केवल संख्या 1 पर मूल्यांकित होता है - यह लक्ष्य सर्वर पर कोई कोड निष्पादित नहीं करता है।

डिटेक्शन लॉजिक

प्रतिक्रिया	व्याख्या
HTTP 500 + RSC त्रुटि पैटर्न

अपना खुद का डिप्लॉय करें

आवश्यक शर्तें

Cloudflare खाता (मुफ्त टियर काम करता है)
Node.js 18+
Wrangler CLI

सेटअप

# Clone the repository
git clone https://github.com/mxm0z/r2s.git
cd r2s

# Install dependencies
npm install

# Run locally
npm run dev

# Deploy to Cloudflare Pages
npm run deploy

कस्टम डोमेन (वैकल्पिक)

अपने डोमेन को Cloudflare में जोड़ें
Cloudflare Pages > अपनी परियोजना > कस्टम डोमेन पर जाएं
अपना सबडोमेन जोड़ें (जैसे, scanner.yourdomain.com)

प्रोजेक्ट संरचना

r2s/
├── public/
│   ├── index.html      # Main page
│   ├── style.css       # Styling
│   ├── app.js          # Frontend logic
│   └── _worker.js      # Cloudflare Worker (scanner API)
├── wrangler.toml       # Cloudflare configuration
└── package.json

API

POST /api/scan

CVE-2025-55182 के लिए किसी लक्ष्य URL को स्कैन करें।

अनुरोध:

{
  "targetUrl": "https://example.com"
}

प्रतिक्रिया:

{
  "target": "https://example.com",
  "timestamp": "2025-01-15T12:00:00.000Z",
  "status": "not_vulnerable",
  "message": "NOT VULNERABLE",
  "httpStatus": "404 Not Found",
  "responsePreview": "...",
  "confidence": "high"
}

अस्वीकरण

यह टूल केवल अधिकृत सुरक्षा परीक्षण के लिए प्रदान किया गया है। केवल उन्हीं अनुप्रयोगों को स्कैन करें जिनके परीक्षण की आपके पास स्पष्ट अनुमति है। लेखक इस टूल के दुरुपयोग के लिए जिम्मेदार नहीं हैं।

श्रेय

मूल शोध: Lachlan Davidson
React एडवाइजरी: GHSA-fv66-9v8q-g76r
Next.js एडवाइजरी: GHSA-9qr9-h5gf-34mp

लाइसेंस

MIT

r2s

सबसे लोकप्रिय