Laboratorio CTF React-2025: CVE-2025-55182

Panoramica

Questo repository contiene un laboratorio Capture The Flag (CTF) progettato esclusivamente per uso didattico e ricerca sulla sicurezza.

L'ambiente include una vetrina e-commerce dimostrativa vulnerabile basata su Next.js 16 ("Quantum Supplies"), creata appositamente per dimostrare e praticare lo sfruttamento di CVE-2025-55182, una vulnerabilità critica di deserializzazione nel protocollo Flight dei React Server Components.

(Qui a breve verrà aggiunto il link a una guida dettagliata con walkthrough su Notion e spiegazione dello sfruttamento).

Struttura del repository

• /app: Contiene il codice sorgente completo dell'applicazione web Next.js vulnerabile, incluso il database fittizio, lo styling UI personalizzato Dark Liquid Glass e le vulnerabili server actions.
• /documents: Contiene log e domande/risposte che descrivono l'architettura dell'applicazione e i meccanismi della vulnerabilità, così come abbiamo costruito questo ambiente di laboratorio insieme all'IA.
• /solution: Contiene una serie di documenti di analisi dettagliati utilizzati per validare l'applicazione. Include lo script finale solve.py, guide passo-passo per lo sfruttamento manuale con Burp Suite e risposte approfondite che spiegano la struttura del payload React Flight (solution6.md, ecc.).