Scanner CVE-2025-55182

Una scanner prova di concetto per CVE-2025-55182, una vulnerabilità critica di Esecuzione di Codice Remoto (RCE) non autenticata nei React Server Components (RSC).

Panoramica

Il 3 dicembre 2025 è stata divulgata una vulnerabilità critica che interessa React 19.x e le applicazioni Next.js che utilizzano i React Server Components. Il difetto risiede nella logica di deserializzazione del protocollo "Flight" di RSC, consentendo agli attaccanti di eseguire codice arbitrario sul server tramite richieste HTTP appositamente create.

Gravità

Attributo	Valore
CVE	CVE-2025-55182
CVSS	Critico
Vettore d'attacco	Rete
Autenticazione	Nessuna
Sfruttamento	Attivamente sfruttato in natura

Impatto

• Esecuzione di Codice Remoto non autenticata
• Compromissione totale del server
• Raccolta di credenziali dalle variabili d'ambiente
• Esfiltrazione dei metadati del cloud
• Movimento laterale all'interno dell'infrastruttura

Versioni Affette

Prodotto	Versioni Vulnerabili	Versioni Corrette
react-server-dom	19.0.x, 19.1.x, 19.2.x	19.0.1, 19.1.2, 19.2.1
Next.js (App Router)	14.3.0-canary.77+, 15.x, 16.x	15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

Utilizzo

Scansione Singolo Target

go run ./cmd/main.go -t https://example.com

Singolo Target con Shell Interattiva

go run ./cmd/main.go -t https://example.com -shell

Scansione Batch da File

go run ./cmd/main.go -f targets.txt -c 20

Esportazione Risultati

go run ./cmd/main.go -f targets.txt -json results.json -csv results.csv

Opzioni

Flag	Descrizione	Predefinito
-t, -target	URL del singolo target
-f, -file	File contenente gli URL dei target
-c, -concurrency	Numero di scanner concorrenti	10
-timeout	Timeout HTTP in secondi	15
-json	Esporta i risultati in un file JSON
-csv	Esporta i risultati in un file CSV
-q, -quiet	Sopprime banner e avanzamento	false
-s, -shell	Shell interattiva sul target vulnerabile	false

Esempio di Output

React2Shell Scanner v1.0.0
CVE-2025-55182 | React Server Components RCE
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

[+] VULN  https://app.example.com/ 142ms
[-] SAFE  https://api.example.com/ 203ms
[!] ERROR https://internal.example.com/ (timeout) 15000ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
SCANSIONE COMPLETATA

  Target scansionati:    3
  Vulnerabili:          1 (33%)
  Sicuri:               1
  Errori:               1

  Durata:               15.4s
  Risposta media:       5115ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
TARGET VULNERABILI

  1. https://app.example.com/

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
CORREZIONE

  Aggiornare alle versioni corrette:

  Next.js:
    15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

  react-server-dom:
    19.0.1, 19.1.2, 19.2.1

Dettagli Tecnici

La vulnerabilità risiede nella gestione dei payload serializzati del protocollo RSC "Flight". Durante l'elaborazione di dati multipart appositamente creati, il server non convalida correttamente la struttura del payload, consentendo un attacco di prototype pollution che porta all'esecuzione di codice arbitrario.

Vettore d'Attacco

1. L'attaccante invia un payload RSC malformato tramite richiesta POST
2. Il server deserializza il payload senza una corretta validazione
3. Il prototype pollution consente l'accesso al costruttore
4. JavaScript arbitrario viene eseguito nel contesto Node.js
5. L'output dei comandi viene esfiltrato tramite header di redirect

Rilevamento

Cercare richieste POST che contengono:

• Header Next-Action
• Dati multipart con riferimenti __proto__
• Risposte X-Action-Redirect insolite

Correzione

1. Immediata: Aggiornare alle versioni corrette elencate sopra
2. Regole WAF: Bloccare le richieste contenenti __proto__ nel corpo
3. Monitoraggio: Creare alert su pattern sospetti dell'header Next-Action
4. Rete: Limitare le connessioni in uscita dai server Next.js

Dichiarazione di Non Responsabilità

SOLO PER USO INTERNO

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati. Utilizzarlo solo su sistemi di cui si è proprietari o per cui si ha esplicita autorizzazione. L'accesso non autorizzato a sistemi informatici è illegale.

Riferimenti

• Wiz Research Advisory
• React Security Bulletin
• Vercel Advisory

Licenza

Solo per uso interno. Non destinato alla distribuzione.