legus-yeung/cve-2025-55182-exploitReact Server Componentsの重大な認証なしRCEであるCVE-2025-55182の概念実証エクスプロイト。脆弱なNext.js/Reactバージョンに対する悪意のあるHTTPリクエストの作成を実証するPythonスクリプトを含む。
このリポジトリには、React Server Components における重大なリモートコード実行（RCE）脆弱性である CVE-2025-55182 用のシンプルなエクスプロイトが含まれています。
CVE-2025-55182 は、React Server Components における認証不要のリモートコード実行脆弱性です（CVSS 10.0）。この脆弱性は、React が React Server Function エンドポイントに送信されたペイロードをデコードする方法に影響を及ぼし、攻撃者が悪意のある HTTP リクエストを作成してサーバー上でリモートコード実行を達成することを可能にします。
react-server-dom-webpack: 19.0, 19.1.0, 19.1.1, 19.2.0react-server-dom-parcel: 19.0, 19.1.0, 19.1.1, 19.2.0react-server-dom-turbopack: 19.0, 19.1.0, 19.1.1, 19.2.0react-server-dom-webpack: 19.0.1, 19.1.2, 19.2.1react-server-dom-parcel: 19.0.1, 19.1.2, 19.2.1react-server-dom-turbopack: 19.0.1, 19.1.2, 19.2.1exploit.py スクリプトは、攻撃者が React Server Function エンドポイントに対して悪意のある HTTP リクエストを作成することで、この脆弱性を悪用する方法を示しています。
注記: このエクスプロイトは、脆弱なバージョンの Next.js および React に対してのみ機能します。パッチ適用済みバージョンに更新すると、このエクスプロイトは機能しなくなります。
脆弱な Next.js アプリケーションを対象としたエクスプロイトスクリプト:
Next.js と React の更新後における同じエクスプロイトスクリプト — エクスプロイトは機能しなくなります:
エクスプロイトの動作を示す出力例:
この脆弱性により、脆弱なバージョンの React Server Components を実行しているサーバー上で、認証不要のリモートコード実行が可能になります。アプリケーションが React Server Function エンドポイントを明示的に実装していない場合でも、React Server Components をサポートしていれば、この脆弱性の影響を受ける可能性があります。
直ちに対応が必要です: 以下の最新のパッチ適用済みバージョンにアップグレードしてください:
npm install next@latest
npm install react@latest react-dom@latest react-server-dom-webpack@latest
このエクスプロイトは、教育およびセキュリティ研究目的のみで提供されています。所有していないシステムや、テストする明示的な許可を得ていないシステムに対して、このコードを使用しないでください。コンピュータシステムへの不正アクセスは違法です。