jensnesten/react2shell-pocNext.jsおよびReact Server ComponentsにおけるCVE-2025-55182およびCVE-2025-66478向けのRCEエクスプロイトPoC（スキャナーおよびエクスプロイトツール付き）
CVE-2025-55182 および CVE-2025-66478 の概念実証エクスプロイトです。これらは React Server Components (RSC) と Next.js アプリケーションにおける深刻なリモートコード実行の脆弱性です。
React2Shell は、Next.js のサーバーアクションハンドラーにおける安全でないデシリアライゼーションの悪用を実証します。これにより、認証されていない攻撃者が特別に細工されたマルチパートフォームデータペイロードを使用して、脆弱なサーバー上で任意のコマンドを実行できるようになります。
scanner.py - Assetnote 製の脆弱性スキャナー。複数のホストにわたる脆弱な Next.js/RSC インスタンスを検出します。main.py - 脆弱なターゲットに対してコマンドを実行する直接 RCE エクスプロイト。単一のホストをスキャン:
python3 scanner.py -u https://target.com
ファイルから複数のホストをスキャン:
python3 scanner.py -l targets.txt -t 20 -o results.json
脆弱なホスト上でコマンドを実行:
python3 main.py target.com 'id'
脆弱なホストのリストからコマンドを実行:
python3 main.py -l vulnerable.txt 'whoami'
このツールは教育目的および許可されたセキュリティテスト目的でのみ提供されます。コンピュータシステムへの不正アクセスは違法です。