CVE-2025-55182 - React RSC RCE

React Server ComponentsのFlightプロトコルにおけるデシリアライゼーション脆弱性のPoC。

これは何？

Next.js 14+ と React 19 は、クライアントとサーバー間の通信に独自プロトコル（"Flight"）を使用しています。問題は、サーバーが検証なしに任意のモジュールをロードすることです。そのため、child_process を実行させることができ、そのままRCEに至ります。

Usage

python CVE-2025-55182.py -t <IP> -p <PORT> --cmd "id"

影響を受けるバージョン

• Next.js < 14.2.21
• Next.js < 15.1.2
• React < 19.2.1

修正方法

依存関係を更新してください。以上です。

免責事項

自分の所有するシステム、または書面による許可があるシステムでのみ使用してください。あなたが愚かなことをしても私は責任を負いません。