big02-bot/react2shell-cve-2025-55182-an-lise-t-cnicaAnalisi tecnica educativa di CVE-2025-55182, una RCE critica non autenticata in React Server Components e Next.js tramite deserializzazione React Flight, che copre causa principale, impatto, rilevamento e mitigazione.
Questo repository documenta i concetti di sicurezza studiati nella stanza di TryHackMe relativa alla CVE-2025-55182, una vulnerabilità critica che colpisce:
Il difetto consente:
Esecuzione remota di codice senza autenticazione tramite una singola richiesta HTTP manipolata.
Questo materiale ha finalità esclusivamente educativa e difensiva,
non contiene risposte, flag o walkthrough completo della piattaforma.
[ Browser ]
│
▼
[ Richiesta React Flight ]
│
▼
[ Next.js / RSC sul Server ]
│
▼
[ Runtime Node.js ]
│
▼
[ Sistema Operativo ]
I React Server Components, introdotti in React 19, permettono:
Responsabile per:
| Marcatore | Funzione |
|---|---|
| $@ | Riferimento a chunk |
| $B | Riferimento a Blob |
| $1:constructor:constructor | Accesso alla catena dei prototipi |
Frammento concettuale vulnerabile:
moduleExports[metadata[2]]
Tale accesso in JavaScript:
Deserializzazione non sicura
↓
Accesso alla catena dei prototipi
↓
Invocazione di Function()
↓
Remote Code Execution (RCE)
Risultato:
Compromissione totale dell'ambiente di esecuzione.
⚠️ Senza passaggi del laboratorio — solo analisi tecnica.
Payload serializzato manipolato
↓
Elaborazione da parte di React Flight
↓
Attraversamento della catena dei prototipi
↓
Creazione dinamica di una funzione JavaScript
↓
Esecuzione di codice nel Node.js
Possibili conseguenze:
In ambienti di test autorizzati, le conferme iniziali possono includere:
id # utente del processo
uname -a # informazioni di sistema
pwd # directory corrente
ls -la # file locali
env # variabili d'ambiente
Questi comandi servono solo per:
confermare la presenza di esecuzione remota,
non rappresentano la procedura completa della stanza.
React
Next.js
Aggiornare a:
Possibili segnali di sfruttamento:
Tali pattern sono:
rari nel traffico legittimo,
essendo forti indicatori di attacco.
Buone pratiche difensive:
La rilevazione precoce riduce significativamente il rischio in produzione.
La CVE-2025-55182 è critica perché:
Dimostrando che:
difetti sottili di deserializzazione possono portare a RCE completa.
La stanza enfatizza:
Contenuto destinato a:
Lo sfruttamento di sistemi senza autorizzazione è illegale.
Il React2Shell (CVE-2025-55182) evidenzia che:
le astrazioni moderne dei framework possono nascondere
limiti critici di sicurezza.
Comprendere questi livelli è essenziale per: