CVE-2025-55182용 오리지널 PoC

공개 PoC가 유포되고 있고 Google의 스캐너가 제가 제출한 오리지널 PoC의 변형을 사용하고 있으므로, 드디어 React2Shell용 오리지널 PoC를 공유할 책임 있는 시기가 되었습니다.

이 저장소에는 3개의 PoC가 포함되어 있습니다:

• 00-very-first-rce-poc - RCE를 위해 제가 개발에 성공한 최초의 PoC입니다. Webpack을 사용하는 Next.js 사이트의 dev 빌드에서만 직접 작동합니다.
• 01-submitted-poc.js (메인) - Meta에 제출한 바로 그 PoC로, 훨씬 더 간단하고 효과적입니다.
• 02-meow-rce-poc - Sylvie가 증거로 게시한 해시된 PoC로, Meta에 최초 공개되기 직전인 11월 29일에 게시되었습니다.

TL;DR

다른 많은 사람들이 자신의 PoC를 설명했지만, 여기에 제 아주 간단한 설명을 남깁니다:

• $@x를 사용하면 Chunk에 접근할 수 있습니다
• 우리는 자체 객체에 그 then을 심습니다
• JS 런타임은 중첩된 promise(사실상 .then 함수를 가진 모든 것)를 자동으로 풀어냅니다
• 이제 악의적인 가짜 Chunk 객체를 제어하면서 파서에 다시 진입합니다
• 이때 _response에 무언가를 심으면 매우 많은 가젯에 접근할 수 있습니다
• (여기에 여러 옵션을 넣습니다)
• RCE

PoC의 몇 가지 차이점

제 PoC의 then에 재미있는 부분이 있다는 것을 눈치채셨을 것입니다. 이것은 여러 청크를 '연결'하기 위해 사용하던 멋진 프리미티브로, resolve를 Array.map에 전달하여 $0에 정의된 다른 청크로 "점프"할 수 있게 해줍니다.

현재 유포 중인 공개 재현 PoC는 이를 수행하지 않는데, 단일 점프만 할 때는 필요하지 않기 때문입니다. 재현된 PoC가 그 외에는 제 PoC와 동일한 _formData 가젯을 사용하는 것을 확인할 수 있어서 기뻤습니다. 다만 00- PoC는 읽어볼 용기가 있다면 정말 거친 여정이 될 것입니다 :)

전체 라이트업

곧.