Laboratorio di Sicurezza React Server Components (CVE-2025-55183 e CVE-2025-55184)

Un ambiente completo di test di sicurezza per le vulnerabilità CVE-2025-55183 (Esposizione del codice sorgente) e CVE-2025-55184 (Denial of Service) in React Server Components.

⚠️ Disclaimer

SOLO PER SCOPI EDUCATIVI E DI RICERCA SULLA SICUREZZA

Questo repository contiene applicazioni deliberatamente vulnerabili e strumenti di sfruttamento. Esegui test solo su sistemi di tua proprietà o per i quali hai un'esplicita autorizzazione scritta. I test non autorizzati sono illegali e non etici.

📋 Indice dei Contenuti

• Informazioni sulle Vulnerabilità
• Avvio Rapido
• Struttura del Repository
• Applicazione Vulnerabile
• Utilizzo dello Scanner
• Documentazione Dettagliata
• Rimedio
• Licenza

🔍 Informazioni sulle Vulnerabilità

Entrambe le vulnerabilità interessano le versioni di React Server Components dalla 19.0.0 alla 19.2.2, divulgate l'11 dicembre 2025.

CVE-2025-55183: Esposizione del Codice Sorgente (Gravità Media)

Proprietà	Valore
Gravità	Media (CVSS 5.3)
Tipo	Divulgazione di informazioni
Impatto	Esposizione del codice sorgente del server
Autenticazione	Non richiesta

Gli attaccanti possono manipolare gli argomenti delle Server Action per divulgare codice sorgente riservato al server chiamando .toString() sugli oggetti delle funzioni server. Questo espone:

• Logica di business e algoritmi
• Chiavi API o segreti hardcoded
• Dettagli implementativi interni
• Query di database e informazioni sullo schema

CVE-2025-55184: Denial of Service (Gravità Alta)

Proprietà	Valore
Gravità	Alta (CVSS 7.5)
Tipo	Denial of Service
Impatto	Interruzione completa del servizio
Autenticazione	Non richiesta

Payload appositamente costruiti creano una ricorsione infinita di promise, causando il blocco indefinito del server Node.js. Risultato:

• Indisponibilità completa del servizio
• Esaurimento della CPU
• Event loop bloccato
• Riavvio manuale necessario

Confronto

Aspetto	CVE-2025-55183	CVE-2025-55184
Gravità	Media	Alta
Tipo	Divulgazione di informazioni	Denial of Service
Impatto	Fuga del codice sorgente	Crash del server
Rilevamento	La risposta contiene codice	Timeout/blocco del server
Ripristino	Immediato	Richiede riavvio

⚠️ Importante: Informazioni su CVE-2025-55184 (DoS) in Questa Demo

Perché il DoS Potrebbe Non Causare il Crash dell'App Demo

TL;DR: L'app È vulnerabile (React 19.0.0), ma le protezioni moderne potrebbero impedire il crash effettivo in questo ambiente demo.

La Realtà dei Fatti

CVE-2025-55184 è una vulnerabilità REALE e CRITICA che interessa React 19.0.0-19.2.2 negli ambienti di produzione. Tuttavia, dimostrare con successo il crash DoS in una demo locale può essere difficile a causa di:

1. Protezione Integrata di Next.js

• Next.js 15.x include error boundary che intercettano e recuperano da molti crash
• I meccanismi automatici di recupero dagli errori prevengono la ricorsione infinita
• La modalità di produzione gestisce gli errori in modo diverso rispetto al percorso di codice vulnerabile

2. Isolamento Docker

• La containerizzazione aggiunge isolamento dei processi
• I limiti delle risorse impediscono il blocco completo del sistema
• Il sistema init di Docker può rilevare e riavviare i processi bloccati

3. Sviluppo vs Produzione

• Il percorso di codice esattamente vulnerabile richiede specifiche configurazioni di produzione
• Gli ambienti di sviluppo/demo hanno meccanismi di sicurezza aggiuntivi
• Le race condition e i tempi sono diversi nei container

Come Verificare che la Vulnerabilità SIA Presente

Anche se l'exploit non causa il crash della demo, puoi verificare la vulnerabilità tramite:

Metodo 1: Controllo della Versione (Il Più Affidabile)

cd vulnerable-app
npm list react react-dom

# Output shows:
[email protected]        ← VULNERABLE VERSION
[email protected]    ← VULNERABLE VERSION

Se vedi versioni dalla 19.0.0 alla 19.2.2, l'applicazione È vulnerabile.

Metodo 2: Rilevamento con lo Scanner

cd scanner
python scan.py http://localhost:3000

Lo scanner verifica:

• ✅ Versione di React nell'intervallo vulnerabile
• ✅ Server Actions abilitate
• ✅ Header di risposta del server corretti
• ✅ Pattern di endpoint sfruttabili

🚀 Avvio Rapido

Prerequisiti

• Docker & Docker Compose
• Python 3.7+
• Git

1. Clona il Repository

git clone https://github.com/StealthMoud/react-server-cve-lab.git
cd react-server-cve-lab

2. Avvia l'Applicazione Vulnerabile

# Start the app (vulnerable to both CVEs)
docker-compose up --build -d

# App available at: http://localhost:3000

3. Esegui lo Scanner

cd scanner

# Install dependencies
pip install -r requirements.txt

# Scan for both vulnerabilities
python scan.py http://localhost:3000

# Scan only CVE-2025-55183
python scan.py --cve 55183 http://localhost:3000

# Scan only CVE-2025-55184
python scan.py --cve 55184 http://localhost:3000

# Scan multiple targets
python scan.py --file targets.txt

📁 Struttura del Repository

react-server-cve-lab/
├── README.md                          # This file
├── DOCUMENTATION.md                   # Complete technical documentation
├── LICENSE
├── .gitignore
├── docker-compose.yml
│
├── vulnerable-app/                    # Vulnerable to BOTH CVEs
│   ├── Dockerfile
│   ├── package.json
│   ├── next.config.js
│   └── app/
│       ├── layout.js
│       ├── page.js
│       └── actions.js                 # Vulnerable server actions
│
├── scanner/
│   ├── requirements.txt
│   ├── scan.py                        # Scanner for both CVEs
│   └── README.md
│
└── exploits/
    ├── exploit-55183.py               # PoC for CVE-2025-55183
    ├── exploit-55184.py               # PoC for CVE-2025-55184
    └── README.md

🎯 Applicazione Vulnerabile

L'applicazione è un'app Next.js che esegue React 19.0.0 con Server Actions, vulnerabile a entrambe le CVE.

Caratteristiche

• Server Actions: Molteplici endpoint che dimostrano entrambe le vulnerabilità
• Codice Realistico: Simula pattern del mondo reale con segreti
• Test Semplici: UI semplice per il test manuale
• Basato su Docker: Ambiente isolato e riproducibile

Avvio dell'App

# Using Docker Compose (recommended)
docker-compose up --build -d

# Check if running
curl http://localhost:3000

# View logs
docker-compose logs -f

# Stop the app
docker-compose down

Configurazione Manuale (Senza Docker)

cd vulnerable-app
npm install
npm run build
npm start

🔎 Utilizzo dello Scanner

Lo scanner unificato rileva sia CVE-2025-55183 sia CVE-2025-55184.

Utilizzo Base

cd scanner

# Scan for both CVEs
python scan.py http://localhost:3000

# Scan specific CVE only
python scan.py --cve 55183 http://localhost:3000
python scan.py --cve 55184 http://localhost:3000

Opzioni Avanzate

# Verbose output
python scan.py --verbose http://localhost:3000

# Custom timeout
python scan.py --timeout 10 http://example.com