form-data boundary randomness vulnerability (CVE-2025-7783)

主に https://hackerone.com/reports/2913312 を基にしています。著者は https://hackerone.com/parrot409?type=user です。

インストール:

• npm install
• python3 がインストールされ、z3 モジュールが利用可能であることを確認してください（pip3 install -r requirements.txt）-- エクスプロイトコードは python3 を呼び出して次のランダム値を予測します。

実行:

並行して以下を実行します:

• npm run start-backend（操作されたリクエストを受信するバックエンドサーバー）
• npm run start-vulnerable-server（操作されたリクエストを送信するよう騙されるフロントエンドサーバー）
• npm run run-exploit（エクスプロイトを作成して送信するクライアントコード）

npm run backend の標準出力には、is_admin: true を含むリクエストが表示されるはずです（vulnerable-server.js のコードでは API 呼び出しに is_admin パラメータを追加する意図はありませんが）。