CVE-2025-55182 - React RSC RCE

PoC para a vulnerabilidade de desserialização no protocolo Flight do React Server Components.

O que é?

Next.js 14+ e React 19 usam um protocolo proprietário ("Flight") para comunicar entre cliente e servidor. O problema: o servidor carrega qualquer módulo sem verificar. Então podemos fazê-lo executar child_process e boom, RCE.

Uso

python CVE-2025-55182.py -t <IP> -p <PORT> --cmd "id"

Versões afetadas

• Next.js < 14.2.21
• Next.js < 15.1.2
• React < 19.2.1

Correção

Atualize suas dependências. Só isso.

Aviso Legal

Use apenas em sistemas que você possui ou com autorização por escrito. Não me responsabilizo se você fizer bobagens.