Next.js RSC RCE Exploit Tool (CVE-2025-55182)

プロジェクト概要

CVE-2025-55182 は、Next.js のサーバーサイドコンポーネント（RSC）処理チェーンに存在する高リスク脆弱性です。攻撃者は特別な multipart/form-data リクエストと偽造された RSC 応答ブロックを構築することで、サーバー側で任意の JavaScript コードを実行させ、最終的に process.mainModule.require('child_process') を介してリモートコマンド実行（RCE）を実現します。

本プロジェクトは、この脆弱性のエクスプロイトチェーンをグラフィカルなデスクトップツールとしてパッケージ化し、認可されたテスト環境におけるセキュリティ研究者の検証コストを低減します。以下の機能を統合しています：

• 算術プローブによる自動検出
• 同期/非同期コマンド実行（エコーあり/なし）
• 任意の JS コード実行
• リモートファイルの読み取り、書き込み、ディレクトリ一覧
• Node モジュールの動的ロード
• Unicode / UTF-16 / AES による多重ペイロード難読化（一般的な WAF 検出を回避）
• HTTP / HTTPS / SOCKS5 プロキシサポート

クイックスタート

1. リポジトリのクローン

git clone <repo-url> Nextjs_Exploit_Tool
cd Nextjs_Exploit_Tool

2. プロダクションパッケージのビルド

wails build

ビルド成果物は build/bin/ にあります：

• macOS：NextjsExploitTool.app
• Windows：NextjsExploitTool.exe
• Linux：NextjsExploitTool

3. クロスビルド

# Windows（macOS/Linux からのクロスコンパイル）
GOOS=windows wails build

# Linux（macOS からのクロスコンパイル、mingw-w64 が必要）
GOOS=linux wails build

クロスコンパイルの前に、対象プラットフォーム用の C ツールチェーンを設定する必要があります。詳細は Wails ドキュメントを参照してください。

ホーム画面表示

参考プロジェクト

https://github.com/pyroxenites/Nextjs_RCE_Exploit_Tool

免責事項

本プロジェクトは許可されたセキュリティテスト、セキュリティ研究、教育デモンストレーションのみを目的としています。利用者は所在地域の法令を遵守し、対象システムの所有者から明示的な書面による許可を取得していることを確認しなければなりません。

• 許可のない実際のターゲットに使用してはなりません。
• 他者のシステムの破壊、侵入、可用性に影響を与えるために使用してはなりません。
• 作者は本ツールの誤用によっていかなる結果に対しても責任を負いません。

本ツールを使用することは、上記の条項を読み、同意したことを意味します。自分の行動が合法かどうか不明な場合は、使用しないでください。

ライセンス

本プロジェクトは研究および許可されたテスト目的のみに提供されます。