React2Shell (CVE-2025-55182) - Prova di concetto

Un exploit proof-of-concept completo e una risorsa educativa per CVE-2025-55182, una vulnerabilità critica di esecuzione remota di codice che interessa i React Server Components con un punteggio CVSS di 10.0.

Dichiarazione di esclusione di responsabilità legale

SOLO PER SCOPI EDUCATIVI E DI TEST AUTORIZZATI

Questo strumento è fornito esclusivamente per scopi educativi e per test di sicurezza autorizzati. L'accesso non autorizzato ai sistemi informatici è illegale ai sensi di varie normative, tra cui il Computer Fraud and Abuse Act (CFAA) negli Stati Uniti e legislazioni simili in tutto il mondo.

Devi:

• Utilizzare questo strumento solo su sistemi di tua proprietà o per i quali disponi di esplicita autorizzazione scritta al test
• Rispettare tutte le leggi locali, statali e federali applicabili
• Utilizzare questo strumento in modo responsabile ed etico

L'autore e i collaboratori:

• Non sono responsabili di qualsiasi uso improprio o danno causato da questo strumento
• Non approvano né incoraggiano l'accesso non autorizzato ai sistemi informatici
• Forniscono questo strumento esclusivamente per scopi educativi e di sicurezza difensiva

Utilizzando questo strumento, dichiari di aver compreso e di accettare questi termini.

📋 Indice

• Overview
• Vulnerability Details
• Affected Versions
• Technical Analysis
• Installation
• Usage
• Detection
• Remediation
• Lab Environment Setup
• References
• Contributing
• Author

🎯 Panoramica

React2Shell è una vulnerabilità critica scoperta nel dicembre 2025 che interessa i React Server Components (RSC) e i framework che li implementano, in particolare Next.js. La vulnerabilità consente l'esecuzione remota di codice senza autenticazione tramite una singola richiesta HTTP appositamente predisposta.

Questo repository contiene:

• ✅ Script di exploit automatico in Python
• ✅ Analisi tecnica dettagliata
• ✅ Regole di rilevamento (Snort, OSQuery)
• ✅ Guida alla configurazione dell'ambiente di laboratorio
• ✅ Documentazione completa

🔍 Dettagli della Vulnerabilità

Campo	Dettagli
CVE ID	CVE-2025-55182
Punteggio CVSS	10.0 (Critico)
Vettore di attacco	Rete
Complessità dell'attacco	Bassa
Privilegi richiesti	Nessuno
Interazione dell'utente	Nessuna
Impatto	Compromissione completa del sistema (RCE)
Data di divulgazione	Dicembre 2025

Cosa rende critica questa vulnerabilità?

1. Nessuna autenticazione richiesta - Sfruttabile da qualsiasi attaccante non autenticato
2. Configurazioni predefinite vulnerabili - Le app Next.js standard create con create-next-app sono sfruttabili
3. Elevata affidabilità - Tasso di successo dello sfruttamento vicino al 100%
4. Ampia superficie d'attacco - Oltre 571.000 server pubblici che eseguono componenti React (dati Shodan)
5. Impatto grave - Esecuzione remota completa di codice con i privilegi del processo Node.js

📦 Versioni Interessate

React Server Components

Versioni vulnerabili:

• react-server-dom-webpack: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-parcel: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-turbopack: 19.0.0, 19.1.0, 19.1.1, 19.2.0

Versioni corrette:

• React 19.0.1
• React 19.1.2
• React 19.2.1

Next.js

Versioni vulnerabili:

• Tutte le versioni ≥14.3.0-canary.77
• Tutte le release 15.x (pre-patch)
• Tutte le release 16.x (pre-patch)

Versioni corrette:

• Controlla le release di Next.js per le versioni aggiornate che incorporano le patch di React

Altri Framework Interessati

• React Router (quando si utilizza la modalità RSC)
• Waku
• Redwood SDK
• Vari framework abilitati per RSC

🔬 Analisi Tecnica

Causa principale

La vulnerabilità risiede nella funzione requireModule all'interno della logica di deserializzazione dei React Server Components:

function requireModule(metadata) {  
  var moduleExports = __webpack_require__(metadata[0]);  
  return moduleExports[metadata[2]];  // VULNERABLE LINE - Prototype chain traversal
}

Il difetto consente agli attaccanti di attraversare la catena di prototipi di JavaScript tramite il protocollo React Flight, accedendo al costruttore Function attraverso proprietà come constructor.constructor, consentendo l'esecuzione di codice arbitrario.

Catena di sfruttamento

1. Creazione di chunk fittizio - L'attaccante invia dati multipart form con un oggetto chunk appositamente modificato
2. Inquinamento dei prototipi - Sfrutta __proto__ per creare una struttura auto-referenziale
3. Abuso del gestore Blob - Attiva il gestore di deserializzazione Blob interno di React
4. Accesso al costruttore Function - Percorre constructor.constructor per accedere a Function()
5. Esecuzione di codice - Inietta JavaScript arbitrario tramite child_process.execSync()

Diagramma del flusso dell'attacco

┌─────────────────────────────────────────────────────────────┐
│  Attacker sends multipart/form-data with Next-Action header │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  Server deserializes payload via React Flight protocol      │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  Fake chunk object with __proto__ pollution processed       │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  Blob handler invokes _formData.get(_prefix + id)           │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  Resolves to Function("malicious_code")                     │
└──────────────────────┬──────────────────────────────────────┘
                       │
                       ▼
┌─────────────────────────────────────────────────────────────┐
│  Arbitrary code executed with Node.js process privileges    │
└─────────────────────────────────────────────────────────────┘

🚀 Installazione

Requisiti

• Python 3.7 o superiore
• Libreria requests

Configurazione

# Clone the repository
git clone https://github.com/yourusername/react2shell-poc.git
cd react2shell-poc

# Install dependencies
pip install -r requirements.txt

# Make script executable (Linux/macOS)
chmod +x react2shell.py

Requirements.txt

requests>=2.31.0
urllib3>=2.0.0

💻 Utilizzo

Utilizzo di base

python3 react2shell.py

Sessione interattiva

╔═══════════════════════════════════════════════════════════╗
║           React2Shell (CVE-2025-55182) PoC                ║
║                 CVSS 10.0 - Critical RCE                  ║
║                                                           ║
║  Affected: React 19.0.0, 19.1.0, 19.1.1, 19.2.0          ║
║           Next.js ≥14.3.0-canary.77, 15.x, 16.x          ║
║                                                           ║
║  Cerberus Secure - Lab Use Only                          ║
╚═══════════════════════════════════════════════════════════╝

[?] Enter target information:
    Host (e.g., localhost or 192.168.1.100): localhost
    Port (e.g., 3000): 3000