CVE-2025-55182

Aplicação Vulnerável

Construir e executar:

docker compose build
docker compose run --rm --entrypoint 'npm install' node
docker compose run --rm --entrypoint 'npm run build' node
docker compose up

POC (de https://github.com/msanft/CVE-2025-55182):

node poc.js

Experimentação com unbundled:

yarn --immutable

node --conditions react-server app.js

CodeQL

Clone facebook/react e crie unbundled:

yarn --immutable

yarn cross-env RELEASE_CHANNEL=experimental node ./scripts/rollup/build.js react-server-dom-webpack/ --type=NODE_DEV

cp ./build/node_modules/react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.unbundled.development.js \
    codeql/${version}/

Prepare o CodeQL:

codeql database create db -l javascript -s codeql

cd queries && codeql pack install

codeql query run ./queries/PrototypeTraversal.ql -d db

TAREFAS

Adicionar uma consulta para encontrar Promise.resolve(userData)
- deve encontrar todas as funções async que resolvem com um objeto definido pelo usuário
- este é o local imediato dos problemas de execução de código
Adicionar uma consulta para encontrar await non-native-promise
- deve encontrar todos os awaits de funções que não retornam uma promise nativa
- um chamador pode usar erroneamente await em um método que (às vezes) retorna dados brutos

Resultados

Ele capturou o uso corrigido em getOutlinedModel (adicionado hasOwnProperty.call) e o uso removido em createModelResolver (agora fulfillReference).

Não sei por que o primeiro e o segundo apontam para o mesmo local, enquanto o extraído em vuln.js não.

Exemplos

Em codeql/tests.js existem estas três variantes:

var value = {};
for (let i = 0; i < path.length; i++) {
  value = value[path[i]] // VarAccess
}

var value = {};
for (let i = 0; i < path.length; i++) {
  let c = value[path[i]] // VarDecl
  value = c
}

var value = {};
for (let i = 0; i < path.length; i++) {
  let c
  c = value[path[i]] // use VarRef
  value = c
}

Referência: https://codeql.github.com/docs/codeql-language-guides/abstract-syntax-tree-classes-for-working-with-javascript-and-typescript-programs/

./19.2.0/react-server-dom-webpack-server.node.unbundled.development.js	parentObject[reference[key]]	parentObject[reference[key]]	Unsafe prototype traversal: Variable 'parentObject' is updated with its own property inside a loop.
./19.2.0/react-server-dom-webpack-server.node.unbundled.development.js	parentObject[reference[key]]	parentObject[reference[key]]	Unsafe prototype traversal: Variable 'parentObject' is updated with its own property inside a loop.
./19.2.0/react-server-dom-webpack-server.node.unbundled.development.js	value[path[i]]	value[path[i]]	Unsafe prototype traversal: Variable 'value' is updated with its own property inside a loop.
./tests.js	value[path[i]]	c	Unsafe prototype traversal: Variable 'value' is updated with its own property inside a loop.
./tests.js	value[path[i]]	c	Unsafe prototype traversal: Variable 'value' is updated with its own property inside a loop.
./tests.js	value[path[i]]	value[path[i]]	Unsafe prototype traversal: Variable 'value' is updated with its own property inside a loop.
./vuln.js	parentObject[reference[key]]	parentObject[reference[key]]	Unsafe prototype traversal: Variable 'parentObject' is updated with its own property inside a loop.
./vuln.js	value[path[i]]	value[path[i]]	Unsafe prototype traversal: Variable 'value' is updated with its own property inside a loop.

CVE-2025-55182

Mais Populares

CVE-2025-55182

Aplicação Vulnerável

CodeQL

TAREFAS

Resultados

Exemplos