React2Shell

CLIツール + Nucleiテンプレート – React Server ComponentsとNext.js Server Actionsにおける2つの重大なRCE脆弱性を検出するためのものです。
このスキャナーは、公開されたreact2shell脆弱性に基づいて書き直されました。

脆弱性の概要

CVE-2025-55182 – React Server ComponentsのデシリアライズRCE
React Flightのデシリアライズ処理における欠陥により、ユーザーが制御する参照がサーバー関数に解決され、リモートコード実行に至ります。
影響を受けるReactのバージョン: 19.0.0–19.2.0。

CVE-2025-66478 – Next.js Server Actions RCE
Next.jsはServer Actionsを処理する際に同じ安全でないデシリアライズ動作を継承しており、同じRCE経路をもたらします。
影響を受けるNext.jsのバージョン: 14.3.0-canary.77～16.0.6。

両方ともCVSS 10.0と評価されています。理由は、容易に悪用可能であり、完全なRCEの影響があるためです。
ReactとNext.jsの更新リリースでパッチが提供されています。

スキャナー

• RCEのPoCまたは安全な非悪用検出
• 不要なチェックを避けるためのバージョンのみのフィンガープリンティング
• DNS/HTTPコールバックを使用したOut-of-Band RCE確認
  (Burp Collaborator、interactshなどと完全互換)
• 調整可能なパディングを使用したWAFバイパスモード
• 回避テスト用の複数のペイロードバリアント
• Nucleiテンプレート付属

使用法

フィンガープリントのみ:

python3 scanner.py -u https://example.com --fingerprint-only

コールバック検出
（Burp Collaboratorを含む任意のDNS/HTTPリスナーを使用）:

python3 scanner.py -u https://example.com --callback-url https://your-id.oast.pro/r2s

Nucleiワークフロー:

nuclei -u https://example.com -w nuclei/react2shell-workflow.yaml

研究クレジット

脆弱性の発見とPoC研究:

• maple3142
• Wiz、Palo Alto Unit 42、Tenable、Akamaiのセキュリティチーム

参考文献

• Wiz: https://www.wiz.io/blog/critical-vulnerability-in-react-cve-2025-55182
• Unit 42: https://unit42.paloaltonetworks.com/cve-2025-55182-react-and-cve-2025-66478-next/
• Tenable: https://www.tenable.com/blog/react2shell-cve-2025-55182-react-server-components-rce
• Akamai: https://www.akamai.com/blog/security-research/cve-2025-55182-react-nextjs-server-functions-deserialization-rce