CVE-2025-55182

취약한 애플리케이션

빌드 및 실행:

docker compose build
docker compose run --rm --entrypoint 'npm install' node
docker compose run --rm --entrypoint 'npm run build' node
docker compose up

POC (출처: https://github.com/msanft/CVE-2025-55182):

node poc.js

unbundled로 실험:

yarn --immutable

node --conditions react-server app.js

CodeQL

facebook/react를 클론하고 unbundled 생성:

yarn --immutable

yarn cross-env RELEASE_CHANNEL=experimental node ./scripts/rollup/build.js react-server-dom-webpack/ --type=NODE_DEV

cp ./build/node_modules/react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.unbundled.development.js \
    codeql/${version}/

CodeQL 준비:

codeql database create db -l javascript -s codeql

cd queries && codeql pack install

codeql query run ./queries/PrototypeTraversal.ql -d db

TODO

Promise.resolve(userData)를 찾는 쿼리 추가
- 사용자 정의 객체로 resolve하는 모든 async 함수를 찾아야 함
- 이는 코드 실행 문제의 직접적인 위치임
await non-native-promise를 찾는 쿼리 추가
- 네이티브 프로미스를 반환하지 않는 함수의 모든 await를 찾아야 함
- 호출자가 때때로 원시 데이터를 반환하는 메서드에 실수로 await를 사용할 수 있음

결과

getOutlinedModel에서 패치된 사용법(hasOwnProperty.call 추가)과 createModelResolver에서 제거된 사용법(현재 fulfillReference)을 포착했습니다.

첫 번째와 두 번째가 같은 위치를 가리키는 반면, vuln.js에서 추출된 것은 그렇지 않은 이유를 모르겠습니다.

예제

codeql/tests.js에는 다음 세 가지 변형이 있습니다:

var value = {};
for (let i = 0; i < path.length; i++) {
  value = value[path[i]] // VarAccess
}

var value = {};
for (let i = 0; i < path.length; i++) {
  let c = value[path[i]] // VarDecl
  value = c
}

var value = {};
for (let i = 0; i < path.length; i++) {
  let c
  c = value[path[i]] // use VarRef
  value = c
}

참조: https://codeql.github.com/docs/codeql-language-guides/abstract-syntax-tree-classes-for-working-with-javascript-and-typescript-programs/

./19.2.0/react-server-dom-webpack-server.node.unbundled.development.js	parentObject[reference[key]]	parentObject[reference[key]]	안전하지 않은 프로토타입 순회: 변수 'parentObject'가 루프 내에서 자신의 속성으로 업데이트됩니다.
./19.2.0/react-server-dom-webpack-server.node.unbundled.development.js	parentObject[reference[key]]	parentObject[reference[key]]	안전하지 않은 프로토타입 순회: 변수 'parentObject'가 루프 내에서 자신의 속성으로 업데이트됩니다.
./19.2.0/react-server-dom-webpack-server.node.unbundled.development.js	value[path[i]]	value[path[i]]	안전하지 않은 프로토타입 순회: 변수 'value'가 루프 내에서 자신의 속성으로 업데이트됩니다.
./tests.js	value[path[i]]	c	안전하지 않은 프로토타입 순회: 변수 'value'가 루프 내에서 자신의 속성으로 업데이트됩니다.
./tests.js	value[path[i]]	c	안전하지 않은 프로토타입 순회: 변수 'value'가 루프 내에서 자신의 속성으로 업데이트됩니다.
./tests.js	value[path[i]]	value[path[i]]	안전하지 않은 프로토타입 순회: 변수 'value'가 루프 내에서 자신의 속성으로 업데이트됩니다.
./vuln.js	parentObject[reference[key]]	parentObject[reference[key]]	안전하지 않은 프로토타입 순회: 변수 'parentObject'가 루프 내에서 자신의 속성으로 업데이트됩니다.
./vuln.js	value[path[i]]	value[path[i]]	안전하지 않은 프로토타입 순회: 변수 'value'가 루프 내에서 자신의 속성으로 업데이트됩니다.

CVE-2025-55182

인기

CVE-2025-55182

취약한 애플리케이션

CodeQL

TODO

결과

예제