CVE-2025-55182 - React RSC RCE

PoC per la vulnerabilità di deserializzazione nel protocollo Flight di React Server Components.

Cos'è?

Next.js 14+ e React 19 usano un protocollo proprietario ("Flight") per comunicare tra client e server. Il problema: il server carica qualsiasi modulo senza verificare. Quindi si può fargli eseguire child_process e boom, RCE.

Utilizzo

python CVE-2025-55182.py -t <IP> -p <PORT> --cmd "id"

Versioni interessate

• Next.js < 14.2.21
• Next.js < 15.1.2
• React < 19.2.1

Fix

Aggiorna le tue dipendenze. Tutto qui.

Disclaimer

Da utilizzare solo su sistemi che possiedi o con autorizzazione scritta. Non sono responsabile se fai sciocchezze.