CVE-2025-55182 - React RSC RCE

React Server Components의 Flight 프로토콜 역직렬화 취약점에 대한 PoC입니다.

이게 뭐야?

Next.js 14+와 React 19는 클라이언트와 서버 간 통신을 위해 독점("Flight") 프로토콜을 사용합니다. 문제는 서버가 검증 없이 아무 모듈이나 로드한다는 것입니다. 그래서 child_process를 실행하게 만들 수 있고, boom, RCE입니다.

사용법

python CVE-2025-55182.py -t <IP> -p <PORT> --cmd "id"

영향을 받는 버전

• Next.js < 14.2.21
• Next.js < 15.1.2
• React < 19.2.1

수정

의존성 업데이트해. 그게 다야.

면책 조항

자신이 소유한 시스템이나 서면 승인을 받은 시스템에서만 사용해. 멍청한 짓을 해도 나는 책임 안 져.