React2Shell ライブラリ

CVE-2025-55182（React Server Componentsにおける重大なリモートコード実行（RCE）脆弱性、通称 「React2Shell」）に関する厳選されたリソースリストです。

目的: React2Shell脆弱性の歴史、メカニズム、および修正方法を研究者やセキュリティエンジニア向けに文書化すること。

📚 ライブラリの内容

• コアインテリジェンス
• 研究・分析
• 検出・防御
• コミュニティ・議論
• 悪用
• メディア・脅威インテリジェンス

---

コアインテリジェンス

公式ドキュメントと深刻度スコアリング。

• NVD - CVE-2025-55182 詳細 - 公式のCommon Vulnerability Scoring System（CVSS 10.0）エントリと影響を受けるバージョン。
• GitHub Security Advisory GHSA-fv66-9v8q-g76r - 影響を受けるパッケージ react-server-dom-webpack、parcel、turbopack の詳細。
• Next.js Security Advisory (CVE-2025-66478) - App Routerを使用するNext.jsアプリケーションへの下流影響に関するアドバイザリ。

研究・分析

根本原因、悪用チェーン、「Flight」プロトコルへの技術的な深掘り。

• React2Shell: 重大なReact脆弱性 - Wiz Research による安全でないデシリアライゼーションの欠陥に関する詳細な技術分析。
• FlightペイロードデシリアライゼーションによるRCE - Offensive Security によるChunkオブジェクトとPromise解決を用いた攻撃の詳細な解説。
• CVE-2025-55182 (React2Shell): React Server Componentsにおけるリモートコード実行 - Datadog Security Labs による分析、観測されたPoCインジェクションパラメータを含む。

検出・防御

インフラを保護するためのルール、スクリプト、WAF設定。

• GitHub - Vercel Labs / fix-react2shell-next - Vercel による脆弱なNext.jsアプリケーションを自動検出・修正する公式Codemod。
• Cloudflare WAFがReact脆弱性を積極的に保護 - すべてのCloudflare顧客（無料・有料プラン含む）は、ReactアプリケーションのトラフィックがCloudflare WAFを経由している限り、自動的に保護されます。
• CVE-2025-55182への対応 - Google Cloud によるCloud Armor cve-canary WAFルールの使用ガイダンス。
• Fastlyのプロアクティブな保護 - Fastly のWAFシグナルと仮想パッチによるパッチまでの時間稼ぎの詳細。
• ProjectDiscovery Nucleiテンプレート - CVE-2025-55182検出用の公式Nucleiテンプレート。

コミュニティ・議論

セキュリティコミュニティからのリアルタイム分析、スレッド、コメント。

• @maple3142 (2025年12月4日) - Next.js 16.0.6に対する最初の動作するProof of Concept（PoC）のリリース、脆弱性が悪用可能であることを確認。

悪用

Proof of Concepts (PoC)。

• Vulhub - Docker環境 - 脆弱性をローカルで安全に再現するためのプリビルドDockerコンテナ。
• Github - CVE-2025-55182-research エクスプロイト研究 - CVE-2025-55182のPoC。
• Github - Assetnote/react2shell-scanner - 完全な悪用なしで脆弱性を確実に確認するための高精度検出スクリプト。
• Github - maple3142によるCVE-2025-55182 PoC - Next.js 16.0.6で動作するCVE-2025-55182のPoC。
• [Github] - PoCs for CVE-2025-55182 by lachlan2k](https://github.com/lachlan2k/React2Shell-CVE-2025-55182-original-poc) - React2Shell CVE-2025-55182のオリジナルProof-of-Concept
• [Github] - CVE-2025-55182-advanced-scanner by zack0x01](https://github.com/zack0x01/CVE-2025-55182-advanced-scanner-) - Next.jsアプリケーションにおけるCVE-2025-55182（React Server Components RCE）を検出・悪用するためのシンプルなコマンドラインツール。
• Github - ynsmroztasによるNextRce - React Shell & Next.js RSC Exploit Tool。

メディア・脅威インテリジェンス

アクティブな脅威アクターの報告と業界全体の報道。

• - John Hammondが「React2Shell」として知られる重大なNext.js RCE脆弱性（CVE-2025-55182）を解説。
• 偵察からRCEへ：React2Shell (CVE-2025-55182) をハントする - Lostsec による手動および自動ハンティング戦略（Shodan dorkやペイロード配信を含む）のビデオチュートリアル。
• 中国関連サイバー脅威グループがReact2Shellを急速に悪用 - AWS Security Blog によるEarth LamiaやJackpot Pandaなどのグループによる悪用の報告。

---

コントリビューティング

このライブラリはコミュニティによって維持されています。リソースを追加するにはCONTRIBUTING.mdをお読みください。