React2Shell (CVE-2025-55182) — Demonstração Local de Segurança RSC

⚠️ AVISO Este repositório é apenas para pesquisa educacional e de segurança defensiva.

NÃO tente executar este código contra:

• Sistemas de produção
• Sites públicos
• Servidores que você não possui ou não tem permissão explícita para testar

A exploração não autorizada de vulnerabilidades pode ser ilegal.

---

📌 Visão Geral

Este repositório demonstra o impacto real do React2Shell (CVE-2025-55182) — uma vulnerabilidade crítica de Execução Remota de Código (RCE) que afeta React Server Components (RSC) e frameworks como Next.js.

A demonstração mostra como a desserialização insegura em ambientes vulneráveis pode levar a:

• Execução de código no lado do servidor
• Acesso ao sistema de arquivos
• Enumeração de diretórios

Todos os testes foram realizados localmente em um ambiente controlado.

---

🧪 Cenários de Demonstração

O script de demonstração contém três exemplos isolados:

1. Prova mínima de RCE

   • Registra uma mensagem da execução no lado do servidor

2. Escrita no sistema de arquivos

   • Cria um arquivo no diretório de trabalho do servidor

3. Enumeração de diretórios

   • Lista arquivos do diretório do processo do servidor

Estes exemplos são intencionalmente simples para destacar o impacto, não a exploração.

---

🔧 Etapas de Simulação de Alto Nível (Apenas Local)

1. Crie um aplicativo de teste Next.js local
2. Execute-o em um ambiente de desenvolvimento controlado
3. Garanta que o ambiente reflita uma configuração vulnerável
4. Execute o script de demonstração a partir de um contexto de navegador
5. Observe os logs do lado do servidor e as alterações no sistema de arquivos

⚠️ Nenhuma implantação pública é necessária ou recomendada.

---

🛡️ Orientação de Mitigação

Se você usa React Server Components:

• Atualize React e Next.js para versões corrigidas imediatamente
• Audite as ações do servidor e os limites de RSC
• Trate a serialização/desserialização como uma superfície de alto risco
• Monitore os logs do servidor para cargas RSC anômalas

---

📚 Referências

• Site oficial do React2Shell: https://react2shell.com/
• Aviso de segurança do React:
  https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components
• Pesquisa original & PoC:
  https://github.com/lachlan2k/React2Shell-CVE-2025-55182-original-poc

---

⚖️ Aviso Legal e Ético

Este projeto tem como objetivo conscientizar e ajudar desenvolvedores a entender a gravidade das vulnerabilidades RCE.

O autor não é responsável pelo uso indevido deste código.