CVE-2025-55182 // REACT 서버 컴포넌트 RCE

[ 개요 ] CVE-2025-55182에 대한 익스플로잇 PoC입니다. React Server Components의 안전하지 않은 버전과 입력 검증 함수 취약점을 대상으로 합니다.

[ 기술 메커니즘 ]

• 벡터 : hydration 중 $1:proto:then을 통한 프로토타입 오염.
• 페이로드 : process.mainModule.require('child_process')를 통한 RCE.
• 유출 : X-Action-Redirect 헤더를 통한 데이터 누출.

[ 요구 사항 ]

• python3
• requests

[ 전략 ]

• standard : 직접 child_process 실행.
• obfuscated : 기본 WAF 패턴 매칭을 우회하는 16진수 인코딩 기능.

[ 면책 조항 ] 승인된 보안 연구 및 교육 목적으로만 사용하세요.

[ 사용법 ]

기본 점검

python3 exploit.py -t -c "id"

WAF 우회 시도

python3 exploit.py -t -c "cat /etc/passwd (RCE Command)" -s obfuscated