React2Shell शोषण

React Server Components (RSC) / Next.js में रिमोट कोड एक्सीक्यूशन (Remote Code Execution) भेद्यता के लिए प्रूफ ऑफ कॉन्सेप्ट (PoC)।

विवरण

React Server Components के संस्करण 19.0.0, 19.1.0, 19.1.1 और 19.2.0 में, निम्नलिखित पैकेजों सहित, एक प्री-ऑथेंटिकेशन रिमोट कोड एक्सीक्यूशन भेद्यता मौजूद है: react-server-dom-parcel, react-server-dom-turbopack, और react-server-dom-webpack। यह भेद्य कोड HTTP अनुरोधों से पेलोड्स को Server Function एंडपॉइंट्स पर असुरक्षित रूप से डिसीरियलाइज़ करता है।

अस्वीकरण

⚠️ चेतावनी: यह उपकरण केवल अधिकृत सुरक्षा परीक्षण के लिए है।

• इस उपकरण का उपयोग केवल उन सिस्टमों पर करें जिनके आप स्वामी हैं या जिनके परीक्षण की स्पष्ट लिखित अनुमति है
• कंप्यूटर सिस्टम तक अनधिकृत पहुँच अवैध है
• परीक्षण करना आपकी अपनी जिम्मेदारी है
• लेखक किसी भी दुरुपयोग या क्षति के लिए जिम्मेदार नहीं हैं

आवश्यकताएँ

• Go 1.16 या उच्चतर

स्थापना

go build -o exploit exploit.go

या सीधे चलाएँ:

go run exploit.go

उपयोग

./exploit -u <URL> -c <command>

विकल्प

• -u - लक्ष्य URL (आवश्यक)
• -c - निष्पादित करने का कमांड (डिफ़ॉल्ट: id)

उदाहरण

# Basic usage
./exploit -u https://vulnerable -c "whoami"

# Execute different command
./exploit -u https://vulnerable -c "ls -la"

# Run directly with go
go run exploit.go -u https://vulnerable -c "pwd"

स्क्रीनशॉट

आउटपुट

उपकरण निम्नलिखित आउटपुट देता है:

• HTTP स्थिति कोड
• कमांड निष्पादन आउटपुट (यदि सफल हो)

संदर्भ

• FortiGuard थ्रेट सिग्नल रिपोर्ट - React2Shell RCE भेद्यता
• CVE-2025-55182 - NVD