React-2025 CTF Lab: CVE-2025-55182

Visão Geral

Este repositório contém um laboratório de Capture The Flag (CTF) projetado estritamente para uso educacional e pesquisa de segurança.

O ambiente apresenta uma vitrine fictícia de e-commerce vulnerável em Next.js 16 ("Quantum Supplies"), construída especificamente para demonstrar e praticar a exploração da CVE-2025-55182, uma vulnerabilidade crítica de desserialização no protocolo Flight dos React Server Components.

(Um link para um passo a passo detalhado no Notion e um guia de exploração será fornecido em breve).

Estrutura do Repositório

• /app: Contém o código-fonte completo do aplicativo web Next.js vulnerável, incluindo o banco de dados simulado, o estilo de UI customizado Dark Liquid Glass e as ações de servidor vulneráveis.
• /documents: Contém logs e Perguntas/Respostas detalhando a arquitetura do aplicativo e os mecanismos da vulnerabilidade, conforme construímos este ambiente de laboratório com a IA.
• /solution: Contém uma série de documentos de análise detalhados usados para avaliar o aplicativo. Isso inclui o script finalizado solve.py, guias passo a passo para exploração manual com Burp Suite e respostas aprofundadas que explicam a estrutura do payload React Flight (solution6.md, etc.).

Iniciar Este Servidor

O aplicativo é totalmente containerizado via Docker para pesquisa segura. Para subir o servidor vulnerável e o backend simulado, execute os seguintes comandos a partir do diretório raiz:

# Build the Docker image and start the container in detached mode
sudo docker compose up -d --build

O aplicativo estará acessível pelo seu navegador em http://localhost:10001.

Nota: O contêiner provisiona automaticamente o arquivo alvo /flag/flag.txt necessário para o desafio CTF.