R2S - Scanner React2Shell

Um scanner de vulnerabilidades baseado na web para CVE-2025-55182, uma vulnerabilidade crítica de Execução Remota de Código (RCE) nos Componentes de Servidor React.

Scanner ao Vivo: https://r2s.mxm0z.com

Sobre a CVE-2025-55182

CVE-2025-55182 é uma vulnerabilidade crítica (CVSS 10.0) no protocolo Flight dos Componentes de Servidor React que permite que atacantes não autenticados executem código arbitrário em servidores Next.js vulneráveis através de requisições HTTP maliciosas.

Versões Afetadas

Como Funciona

Este scanner envia um payload de detecção seguro para a URL alvo. O payload usa "_prefix":"1" que simplesmente avalia para o número 1 - ele não executa nenhum código no servidor alvo.

Lógica de Detecção

Implante o Seu Próprio

Pré-requisitos

• Conta Cloudflare (nível gratuito funciona)
• Node.js 18+
• Wrangler CLI

Configuração

# Clone o repositório
git clone https://github.com/mxm0z/r2s.git
cd r2s

# Instale as dependências
npm install

# Execute localmente
npm run dev

# Faça o deploy no Cloudflare Pages
npm run deploy

Domínio Personalizado (Opcional)

1. Adicione seu domínio ao Cloudflare
2. Vá para Cloudflare Pages > seu projeto > Domínios personalizados
3. Adicione seu subdomínio (ex.: scanner.yourdomain.com)

Estrutura do Projeto

r2s/
├── public/
│   ├── index.html      # Página principal
│   ├── style.css       # Estilização
│   ├── app.js          # Lógica do frontend
│   └── _worker.js      # Cloudflare Worker (API do scanner)
├── wrangler.toml       # Configuração do Cloudflare
└── package.json

API

POST /api/scan

Escaneie uma URL alvo para CVE-2025-55182.

Requisição:

{
  "targetUrl": "https://example.com"
}

Resposta:

{
  "target": "https://example.com",
  "timestamp": "2025-01-15T12:00:00.000Z",
  "status": "not_vulnerable",
  "message": "NOT VULNERABLE",
  "httpStatus": "404 Not Found",
  "responsePreview": "...",
  "confidence": "high"
}

Aviso Legal

Esta ferramenta é fornecida apenas para testes de segurança autorizados. Escaneie apenas aplicações para as quais você tenha permissão explícita para testar. Os autores não são responsáveis pelo uso indevido desta ferramenta.

Créditos

• Pesquisa Original: Lachlan Davidson
• Aviso React: GHSA-fv66-9v8q-g76r
• Aviso Next.js: GHSA-9qr9-h5gf-34mp

Licença

MIT