Scanner CVE-2025-55182

Um scanner de prova de conceito para CVE-2025-55182, uma vulnerabilidade crítica de Execução Remota de Código (RCE) não autenticada em React Server Components (RSC).

Visão Geral

Em 3 de dezembro de 2025, foi divulgada uma vulnerabilidade crítica que afeta aplicações React 19.x e Next.js que utilizam React Server Components. A falha existe na lógica de desserialização do protocolo "Flight" do RSC, permitindo que atacantes executem código arbitrário no servidor através de requisições HTTP manipuladas.

Gravidade

Impacto

• Execução Remota de Código não autenticada
• Comprometimento total do servidor
• Coleta de credenciais de variáveis de ambiente
• Exfiltração de metadados da nuvem
• Movimento lateral dentro da infraestrutura

Versões Afetadas

Uso

Varredura de Alvo Único

go run ./cmd/main.go -t https://example.com

Alvo Único com Shell Interativo

go run ./cmd/main.go -t https://example.com -shell

Varredura em Lote a partir de Arquivo

go run ./cmd/main.go -f targets.txt -c 20

Exportar Resultados

go run ./cmd/main.go -f targets.txt -json results.json -csv results.csv

Opções

Exemplo de Saída

React2Shell Scanner v1.0.0
CVE-2025-55182 | React Server Components RCE
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

[+] VULN  https://app.example.com/ 142ms
[-] SAFE  https://api.example.com/ 203ms
[!] ERROR https://internal.example.com/ (timeout) 15000ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
VARREDURA COMPLETA

  Alvos varridos:    3
  Vulneráveis:         1 (33%)
  Seguros:               1
  Erros:             1

  Duração:           15.4s
  Tempo médio de resposta:       5115ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
ALVOS VULNERÁVEIS

  1. https://app.example.com/

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
REMEDIAÇÃO

  Atualize para versões corrigidas:

  Next.js:
    15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

  react-server-dom:
    19.0.1, 19.1.2, 19.2.1

Detalhes Técnicos

A vulnerabilidade existe na manipulação de payloads serializados pelo protocolo "Flight" do RSC. Ao processar dados de formulário multipartes especialmente criados, o servidor não valida adequadamente a estrutura do payload, permitindo poluição de protótipo que leva à execução de código arbitrário.

Vetor de Ataque

1. O atacante envia um payload RSC malformado via requisição POST
2. O servidor desserializa o payload sem validação adequada
3. A poluição de protótipo permite acesso ao construtor
4. JavaScript arbitrário é executado no contexto do Node.js
5. A saída do comando é exfiltrada via cabeçalho de redirecionamento

Detecção

Procure por requisições POST contendo:

• cabeçalho Next-Action
• Dados de formulário multipartes com referências __proto__
• Respostas incomuns X-Action-Redirect

Remediação

1. Imediato: Atualize para as versões corrigidas listadas acima
2. Regras WAF: Bloqueie requisições contendo __proto__ no corpo
3. Monitoramento: Alerte sobre padrões suspeitos no cabeçalho Next-Action
4. Rede: Restrinja conexões de saída de servidores Next.js

Aviso Legal

APENAS PARA USO INTERNO

Esta ferramenta destina-se apenas a testes de segurança autorizados. Use-a apenas em sistemas que você possui ou para os quais possui permissão explícita para testar. O acesso não autorizado a sistemas de computador é ilegal.

Referências

• Comunicado de Pesquisa da Wiz
• Boletim de Segurança do React
• Comunicado da Vercel

Licença

Apenas para uso interno. Não para distribuição.