Laboratorio di Sicurezza React Server Components (CVE-2025-55183 e CVE-2025-55184)

Un ambiente completo di test di sicurezza per le vulnerabilità CVE-2025-55183 (Esposizione del codice sorgente) e CVE-2025-55184 (Denial of Service) in React Server Components.

⚠️ Disclaimer

SOLO PER SCOPI EDUCATIVI E DI RICERCA SULLA SICUREZZA

Questo repository contiene applicazioni deliberatamente vulnerabili e strumenti di sfruttamento. Esegui test solo su sistemi di tua proprietà o per i quali hai un'esplicita autorizzazione scritta. I test non autorizzati sono illegali e non etici.

📋 Indice dei Contenuti

• Informazioni sulle Vulnerabilità
• Avvio Rapido
• Struttura del Repository
• Applicazione Vulnerabile
• Utilizzo dello Scanner
• Documentazione Dettagliata
• Rimedio
• Licenza

🔍 Informazioni sulle Vulnerabilità

Entrambe le vulnerabilità interessano le versioni di React Server Components dalla 19.0.0 alla 19.2.2, divulgate l'11 dicembre 2025.

CVE-2025-55183: Esposizione del Codice Sorgente (Gravità Media)

Gli attaccanti possono manipolare gli argomenti delle Server Action per divulgare codice sorgente riservato al server chiamando .toString() sugli oggetti delle funzioni server. Questo espone:

• Logica di business e algoritmi
• Chiavi API o segreti hardcoded
• Dettagli implementativi interni
• Query di database e informazioni sullo schema

CVE-2025-55184: Denial of Service (Gravità Alta)

Payload appositamente costruiti creano una ricorsione infinita di promise, causando il blocco indefinito del server Node.js. Risultato:

• Indisponibilità completa del servizio
• Esaurimento della CPU
• Event loop bloccato
• Riavvio manuale necessario

Confronto

⚠️ Importante: Informazioni su CVE-2025-55184 (DoS) in Questa Demo

Perché il DoS Potrebbe Non Causare il Crash dell'App Demo

TL;DR: L'app È vulnerabile (React 19.0.0), ma le protezioni moderne potrebbero impedire il crash effettivo in questo ambiente demo.

La Realtà dei Fatti

CVE-2025-55184 è una vulnerabilità REALE e CRITICA che interessa React 19.0.0-19.2.2 negli ambienti di produzione. Tuttavia, dimostrare con successo il crash DoS in una demo locale può essere difficile a causa di:

1. Protezione Integrata di Next.js

• Next.js 15.x include error boundary che intercettano e recuperano da molti crash
• I meccanismi automatici di recupero dagli errori prevengono la ricorsione infinita
• La modalità di produzione gestisce gli errori in modo diverso rispetto al percorso di codice vulnerabile

2. Isolamento Docker

• La containerizzazione aggiunge isolamento dei processi
• I limiti delle risorse impediscono il blocco completo del sistema
• Il sistema init di Docker può rilevare e riavviare i processi bloccati

3. Sviluppo vs Produzione

• Il percorso di codice esattamente vulnerabile richiede specifiche configurazioni di produzione
• Gli ambienti di sviluppo/demo hanno meccanismi di sicurezza aggiuntivi
• Le race condition e i tempi sono diversi nei container

Come Verificare che la Vulnerabilità SIA Presente

Anche se l'exploit non causa il crash della demo, puoi verificare la vulnerabilità tramite:

Metodo 1: Controllo della Versione (Il Più Affidabile)

cd vulnerable-app
npm list react react-dom

# Output shows:
[email protected]        ← VULNERABLE VERSION
[email protected]    ← VULNERABLE VERSION

Se vedi versioni dalla 19.0.0 alla 19.2.2, l'applicazione È vulnerabile.

Metodo 2: Rilevamento con lo Scanner

cd scanner
python scan.py http://localhost:3000

Lo scanner verifica:

• ✅ Versione di React nell'intervallo vulnerabile
• ✅ Server Actions abilitate
• ✅ Header di risposta del server corretti
• ✅ Pattern di endpoint sfruttabili

🚀 Avvio Rapido

Prerequisiti

• Docker & Docker Compose
• Python 3.7+
• Git

1. Clona il Repository

git clone https://github.com/StealthMoud/react-server-cve-lab.git
cd react-server-cve-lab

2. Avvia l'Applicazione Vulnerabile

# Start the app (vulnerable to both CVEs)
docker-compose up --build -d

# App available at: http://localhost:3000

3. Esegui lo Scanner

cd scanner

# Install dependencies
pip install -r requirements.txt

# Scan for both vulnerabilities
python scan.py http://localhost:3000

# Scan only CVE-2025-55183
python scan.py --cve 55183 http://localhost:3000

# Scan only CVE-2025-55184
python scan.py --cve 55184 http://localhost:3000

# Scan multiple targets
python scan.py --file targets.txt

📁 Struttura del Repository

react-server-cve-lab/
├── README.md                          # This file
├── DOCUMENTATION.md                   # Complete technical documentation
├── LICENSE
├── .gitignore
├── docker-compose.yml
│
├── vulnerable-app/                    # Vulnerable to BOTH CVEs
│   ├── Dockerfile
│   ├── package.json
│   ├── next.config.js
│   └── app/
│       ├── layout.js
│       ├── page.js
│       └── actions.js                 # Vulnerable server actions
│
├── scanner/
│   ├── requirements.txt
│   ├── scan.py                        # Scanner for both CVEs
│   └── README.md
│
└── exploits/
    ├── exploit-55183.py               # PoC for CVE-2025-55183
    ├── exploit-55184.py               # PoC for CVE-2025-55184
    └── README.md

🎯 Applicazione Vulnerabile

L'applicazione è un'app Next.js che esegue React 19.0.0 con Server Actions, vulnerabile a entrambe le CVE.

Caratteristiche

• Server Actions: Molteplici endpoint che dimostrano entrambe le vulnerabilità
• Codice Realistico: Simula pattern del mondo reale con segreti
• Test Semplici: UI semplice per il test manuale
• Basato su Docker: Ambiente isolato e riproducibile

Avvio dell'App

# Using Docker Compose (recommended)
docker-compose up --build -d

# Check if running
curl http://localhost:3000

# View logs
docker-compose logs -f

# Stop the app
docker-compose down

Configurazione Manuale (Senza Docker)

cd vulnerable-app
npm install
npm run build
npm start

🔎 Utilizzo dello Scanner

Lo scanner unificato rileva sia CVE-2025-55183 sia CVE-2025-55184.

Utilizzo Base

cd scanner

# Scan for both CVEs
python scan.py http://localhost:3000

# Scan specific CVE only
python scan.py --cve 55183 http://localhost:3000
python scan.py --cve 55184 http://localhost:3000

Opzioni Avanzate

# Verbose output
python scan.py --verbose http://localhost:3000

# Custom timeout
python scan.py --timeout 10 http://example.com

# Scan multiple URLs from file
python scan.py --file targets.txt

# Save results to JSON
python scan.py --output results.json http://localhost:3000

# Disable SSL verification
python scan.py --no-verify https://self-signed.example.com

# Scan all CVEs with verbose output and save results
python scan.py --verbose --output scan-results.json http://localhost:3000

Output di Esempio

╔═══════════════════════════════════════════════════════════╗
║     React Server Components Vulnerability Scanner        ║
║         CVE-2025-55183 & CVE-2025-55184                  ║
╚═══════════════════════════════════════════════════════════╝

[*] Testing http://localhost:3000

[CVE-2025-55183] Source Code Exposure
[!] VULNERABLE: Source code leaked
    Exposed Functions: 3
    Code Length: 1247 characters
    Contains Secrets: ✓ (API keys found)

[CVE-2025-55184] Denial of Service
[!] VULNERABLE: DoS attack successful
    Status Code: 404
    Content-Type: text/plain
    Markers Found: ✓

============================================================
SUMMARY
============================================================
Total tested: 1
CVE-2025-55183 vulnerable: 1
CVE-2025-55184 vulnerable: 1
Both CVEs vulnerable: 1
Not vulnerable: 0

📚 Documentazione Dettagliata

Per un'analisi tecnica completa di entrambe le vulnerabilità:

DOCUMENTATION.md - Documentazione tecnica completa che copre:

• Analisi dettagliata delle vulnerabilità per entrambe le CVE
• Spiegazioni delle cause alla radice
• Tecniche di sfruttamento con esempi
• Valutazioni dell'impatto
• Strategie di rilevamento
• Rimedio passo dopo passo
• Best practice di prevenzione
• Esempi di codice e PoC

🛡️ Rimedio

Azioni Immediate Richieste

Entrambe le vulnerabilità sono risolte nelle stesse versioni di patch:

1. Aggiorna React a una versione patchata:

   root@kitploit:~

   npm install [email protected] [email protected]
   # or
   npm install react@latest react-dom@latest
   

2. Aggiorna Next.js (se applicabile):

   root@kitploit:~

   npm install next@latest
   

3. Verifica la correzione:

   root@kitploit:~

   npm list react react-dom next
   python scanner/scan.py http://localhost:3000
   

Versioni Patchate

Verifica Dopo il Patching

# Run scanner to confirm fixes
cd scanner
python scan.py http://your-patched-app.com

# Expected output:
# [+] CVE-2025-55183: NOT VULNERABLE
# [+] CVE-2025-55184: NOT VULNERABLE

🔒 Best Practice di Sicurezza

Prevenire CVE-2025-55183 (Esposizione del Codice Sorgente)

1. Validazione degli Input: Valida sempre gli input delle Server Action
2. Non Archiviare Mai Segreti nel Codice: Usa variabili d'ambiente
3. Offuscamento del Codice: Valuta l'offuscamento in fase di build per la logica sensibile
4. Audit Regolari: Rivedi le Server Action per dati sensibili

Prevenire CVE-2025-55184 (DoS)

1. Rate Limiting: Implementa limiti di frequenza delle richieste
2. Timeout: Imposta timeout appropriati per tutte le operazioni asincrone
3. Health Check: Implementa un monitoraggio robusto dello stato di salute del servizio
4. Circuit Breaker: Previeni i guasti a cascata

Raccomandazioni Generali

• Mantieni aggiornati React e Next.js
• Iscriviti agli advisory di sicurezza
• Implementa un Web Application Firewall (WAF)
• Esegui scansioni di sicurezza regolari in CI/CD
• Prevedi un piano di risposta agli incidenti sia per la divulgazione di informazioni sia per il DoS

🤝 Contributi

I contributi sono benvenuti! Aree di miglioramento:

• Casi di test aggiuntivi
• Metodi di rilevamento migliorati
• Migliori esempi di sfruttamento
• Documentazione migliorata

Non esitare a inviare una Pull Request.

📄 Licenza

Questo progetto è concesso in licenza sotto la MIT License - consulta il file LICENSE per i dettagli.

🔗 Riferimenti

Advisory Ufficiali

• React Security Blog
• Vercel Security Bulletin

Dettagli CVE

• CVE-2025-55183 (NVD)
• CVE-2025-55184 (NVD)

Risorse Aggiuntive

• CWE-502: Deserializzazione di Dati Non Attendibili
• CWE-200: Esposizione di Informazioni
• Documentazione React Server Components

⭐ Supporto

Se trovi utile questo repository per la tua ricerca sulla sicurezza, prendi in considerazione l'idea di mettere una stella!

📧 Contatti

• Issues: GitHub Issues
• Sicurezza: Segnala le vulnerabilità in modo responsabile