React2Shell (CVE-2025-55182) — Demo locale di sicurezza RSC

⚠️ ATTENZIONE Questo repository è destinato esclusivamente alla ricerca di sicurezza educativa e difensiva.

Non tentare di eseguire questo codice contro:

• Sistemi di produzione
• Siti web pubblici
• Server che non possiedi o per cui non hai esplicita autorizzazione a testare

Lo sfruttamento non autorizzato di vulnerabilità può essere illegale.

---

📌 Panoramica

Questo repository dimostra l'impatto nel mondo reale di React2Shell (CVE-2025-55182) — una vulnerabilità critica di Esecuzione Remota di Codice (RCE) che colpisce React Server Components (RSC) e framework come Next.js.

La demo mostra come la deserializzazione non sicura in ambienti vulnerabili possa portare a:

• Esecuzione di codice lato server
• Accesso al filesystem
• Enumerazione delle directory

Tutti i test sono stati eseguiti localmente in un ambiente controllato.

---

🧪 Scenari della Demo

Lo script della demo contiene tre esempi isolati:

1. Prova minima di RCE

   • Registra un messaggio dall'esecuzione lato server

2. Scrittura su filesystem

   • Crea un file nella directory di lavoro del server

3. Enumerazione delle directory

   • Elenca i file dalla directory del processo server

Questi esempi sono volutamente semplici per evidenziare l'impatto, non lo sfruttamento.

---

🔧 Passaggi di Simulazione ad Alto Livello (Solo Locale)

1. Creare un'applicazione di test Next.js locale
2. Eseguirla in un ambiente di sviluppo controllato
3. Assicurarsi che l'ambiente rifletta una configurazione vulnerabile
4. Eseguire lo script della demo da un contesto browser
5. Osservare i log lato server e le modifiche al filesystem

⚠️ Non è richiesto né raccomandato alcun deployment pubblico.

---

🛡️ Guida alla Mitigazione

Se utilizzi React Server Components:

• Aggiorna immediatamente React e Next.js alle versioni corrette
• Esegui un audit delle server actions e dei confini RSC
• Tratta la serializzazione/deserializzazione come una superficie ad alto rischio
• Monitora i log del server per payload RSC anomali

---

📚 Riferimenti

• Sito ufficiale React2Shell: https://react2shell.com/
• Avviso di sicurezza React:
  https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
• Ricerca originale e PoC:
  https://github.com/lachlan2k/React2Shell-CVE-2025-55182-original-poc

---

⚖️ Avviso Legale ed Etico

Questo progetto ha lo scopo di sensibilizzare e aiutare gli sviluppatori a comprendere la gravità delle vulnerabilità RCE.

L'autore non è responsabile per l'uso improprio di questo codice.