CVE-2025-55184_Testing

Script Python per testare CVE-2025-55184

CVE-2025-55184 – Scanner DoS per React Server Components

Uno script di validazione della sicurezza sicuro progettato per rilevare CVE-2025-55184, una vulnerabilità denial-of-service (DoS) che colpisce React Server Components (RSC).

Questo strumento è inteso esclusivamente per test di sicurezza interni e valutazioni controllate. Deve essere utilizzato solo su sistemi di tua proprietà o per i quali hai esplicita autorizzazione.

Panoramica

CVE-2025-55184 - Denial of Service (DoS) Gravità: ALTA | Punteggio CVSS: 7.5

CVE-2025-55184 impatta la logica di deserializzazione utilizzata da React Server Components. Un payload RSC appositamente creato può causare l'entrata del server in un loop di risoluzione infinito, portando a denial of service.

Questa condizione può comportare:

• Consumo eccessivo di CPU
• Blocco o crash dell'applicazione
• Indisponibilità del servizio per utenti legittimi

Questo scanner invia un payload di validazione non distruttivo all'endpoint RSC standard e valuta il comportamento del server (tempo di risposta e condizioni di timeout) per determinare se il target appare vulnerabile.

Pacchetti interessati

Secondo l'avviso di sicurezza ufficiale di React, la vulnerabilità riguarda i seguenti pacchetti:

• react-server-dom-webpack
• react-server-dom-parcel
• react-server-dom-turbopack

Versioni interessate

Le seguenti versioni sono vulnerabili:

• 19.0.0 – 19.0.2
• 19.1.0 – 19.1.2
• 19.2.0 – 19.2.2

Queste vulnerabilità sono presenti nelle stesse linee di rilascio di CVE-2025-55182. I precedenti tentativi di patch erano incompleti e non hanno risolto completamente tutti i vettori DoS.

Versioni corrette (Verificate)

React ha ufficialmente backportato le correzioni alle seguenti versioni:

• 19.0.3
• 19.1.4
• 19.2.3

È richiesto un aggiornamento immediato se stai eseguendo una qualsiasi delle versioni interessate elencate sopra.

Cosa fa questo strumento

• Invia un payload di deserializzazione controllato di React Server Components
• Punta all'endpoint predefinito /_rsc
• Misura la latenza di risposta e il comportamento del timeout
• Identifica potenziali condizioni di loop di deserializzazione infinito
• Riporta un chiaro risultato Vulnerabile o Non Vulnerabile

Lo strumento non sfrutta, persiste, modifica o estrae dati dal sistema target.

Installazione

Clona il repository:

git clone https://github.com/KkHackingLearning/CVE-2025-55184_Testing.git
cd CVE-2025-55184_Testing

Installa le dipendenze:

pip install requests

Requisiti:

• Python 3.8+

Utilizzo

Scansione su singolo target

python3 scanner.py -d http://example.com:3000

Esempio di output

------------------------------------------------------------
   CVE-2025-55184 | React Server Components DoS Scanner
------------------------------------------------------------

Testing http://example.com
Response OK (#s)

Scan Summary
http://example.com -> Not Vulnerable or Vulnerable

Interpretazione dei risultati

• Non Vulnerabile
  Il target risponde normalmente entro i limiti di tempo previsti.

• Vulnerabile
  La risposta del target è significativamente ritardata o va in timeout, indicando un potenziale loop di deserializzazione infinito.

Opzioni da riga di comando

Avviso di sicurezza e autorizzazione

⚠ IMPORTANTE

Questo strumento deve essere utilizzato solo su sistemi che possedi o per i quali hai esplicita autorizzazione al test.

Il test non autorizzato può violare:

• Politiche di sicurezza organizzative
• Leggi locali o internazionali
• Termini di servizio

L'autore non si assume alcuna responsabilità per l'uso improprio di questo strumento.

Autore - _K

~ Ricercatore di Cybersicurezza_

Licenza

Questo progetto è fornito esclusivamente per test di sicurezza interni e scopi di ricerca.