CVE-2025-55182-React2Shell-RCE-POC

CVE-2025-55182 - React2Shell RCE

Questo repository documenta la ricerca su CVE-2025-55182, nota anche come React2Shell, una vulnerabilità critica di deserializzazione non sicura nei React Server Components (RSC) e nei framework che incorporano il protocollo RSC Flight, in particolare Next.js App Router.

L'attenzione qui è su come payload RSC / Flight malformati combinati con la gestione delle Server Function (Server Action) possano portare all'esecuzione di JavaScript controllato dall'attaccante sul server.

Questo materiale è destinato alla comprensione difensiva, alla riproduzione controllata in laboratorio e alla documentazione. Non è un toolkit di exploit pronto all'uso. Testare solo su sistemi di propria proprietà o per i quali si dispone di esplicita autorizzazione scritta a valutare.

---

Software e Versioni Interessati

React RSC (CVE-2025-55182)

Il bug principale è nell'implementazione server-side di RSC Flight. Colpisce i seguenti pacchetti npm e versioni:

Pacchetti e versioni vulnerabili (Vulert)

• react-server-dom-webpack

  • 19.0.0
  • 19.1.0
  • 19.1.1
  • 19.2.0

• react-server-dom-parcel

  • 19.0.0
  • 19.1.0
  • 19.1.1
  • 19.2.0

• react-server-dom-turbopack

  • 19.0.0
  • 19.1.0
  • 19.1.1
  • 19.2.0

Versioni corrette (secondo l'advisory React) (Vulert)

• 19.0.1
• 19.1.2
• 19.2.1

Qualsiasi applicazione che utilizza React 19 con RSC e uno dei pacchetti vulnerabili deve essere considerata interessata fino all'aggiornamento, anche se non definisce esplicitamente Server Function.

---

Next.js (CVE-2025-66478)

Next.js eredita l'implementazione RSC vulnerabile quando si utilizza l'App Router. Il problema è tracciato come CVE-2025-66478 per Next.js ed è anche valutato con CVSS 10.0. (SOCRadar® Cyber Intelligence Inc.)

Versioni vulnerabili di Next.js (App Router)

• Tutte le build che utilizzano React 19 RSC con:

  • next 15.x precedenti a:

    • 15.0.5
    • 15.1.9
    • 15.2.6
    • 15.3.6
    • 15.4.8
    • 15.5.7

  • next 16.x precedenti a 16.0.7

  • Build canary a partire da 14.3.0-canary.77 e versioni canary successive precedenti alle correzioni

In pratica questo significa:

• Next.js 15 e 16 con App Router sono interessati finché non raggiungono le versioni corrette sopra indicate.
• I progetti predefiniti create-next-app che utilizzano App Router e React 19 sono nell'ambito a meno che non vengano aggiornati.

Non interessati da questa CVE (secondo le indicazioni del vendor) (Black Kite)

• Applicazioni Next.js Pages Router
• Next.js 13 e 14 stabili che non utilizzano lo stack RSC di React 19
• Edge Runtime e React puramente lato client senza server component

---

Altri Framework ed Ecosistemi

Qualsiasi framework o bundler che distribuisca i pacchetti RSC vulnerabili può essere interessato. Gli ecosistemi attualmente elencati includono: (Vulert)

• Build di anteprima RSC di React Router
• RedwoodJS / Redwood SDK che utilizzano RSC
• Waku
• @parcel/rsc
• @vitejs/plugin-rsc
• Altre integrazioni RSC basate su React 19

Se uno stack utilizza React 19 insieme a uno dei pacchetti react-server-dom-* vulnerabili, consideralo interessato finché non viene dimostrato il contrario.

---

Condizioni di Sfruttamento

Sulla base di advisory pubblici e analisi dei vendor, lo sfruttamento ha le seguenti caratteristiche: (Vulert)

• Autenticazione

  • Senza autenticazione nelle distribuzioni tipiche
  • Non è richiesta una sessione utente valida se l'endpoint della Server Function è raggiungibile pubblicamente.

• Configurazione

  • React 19 con RSC abilitato e utilizzo di un pacchetto react-server-dom-* vulnerabile
  • Un endpoint Server Function o Server Action esposto che elabora payload RSC Flight
  • In Next.js, utilizzo dell'App Router con React 19 negli intervalli di versione vulnerabili
  • Nessuna necessità per gli sviluppatori di definire essi stessi funzioni server esplicitamente pericolose come child_process.exec

• Esposizione di rete

  • Qualsiasi endpoint HTTP(S) che accetta richieste RSC Flight può essere preso di mira
  • La scansione cloud suggerisce che una grande parte degli endpoint RSC di Next.js esposti su internet pubblico è nell'ambito (CyberInsider)

• Flusso dell'attacco (ad alto livello)

  • Inviare una singola richiesta HTTP appositamente predisposta a un endpoint Server Function
  • La richiesta trasporta un payload Flight malformato che rompe gli invarianti di deserializzazione RSC
  • La decodifica non sicura consente che i dati controllati dall'attaccante vengano trattati come JavaScript eseguibile sul server
  • Il risultato è l'esecuzione di codice arbitrario nel processo Node.js con i privilegi dell'applicazione

Le valutazioni CVSS 3.1 descrivono questo come:

• Vettore di attacco: Rete
• Complessità di attacco: Bassa
• Privilegi richiesti: Nessuno
• Interazione utente: Nessuna
• Ambito: Modificato
• Impatto: Alto su riservatezza, integrità e disponibilità (0xpthree.gitbook.io)

---

Riepilogo del Comportamento Osservato in Laboratorio

In ambienti di test controllati, utilizzando versioni vulnerabili e configurazioni con RSC abilitato, ricercatori e vendor riportano: (SOCRadar® Cyber Intelligence Inc.)

• Elevata affidabilità dei tentativi di exploit quando viene utilizzato un endpoint Server Function correttamente mirato
• Esecuzione riuscita di JavaScript fornito dall'attaccante nel contesto server React RSC
• Capacità di concatenare questo fino all'esecuzione di comandi arbitrari tramite primitive standard di Node.js nella ricerca proof-of-concept
• Compromissione completa dei dati dell'applicazione e delle variabili d'ambiente una volta ottenuta l'esecuzione del codice