Exploit React2Shell

Prova de Conceito (PoC) para vulnerabilidade de Execução Remota de Código nos React Server Components (RSC) / Next.js.

Descrição

Existe uma vulnerabilidade de execução remota de código sem autenticação nos React Server Components versões 19.0.0, 19.1.0, 19.1.1 e 19.2.0, incluindo os seguintes pacotes: react-server-dom-parcel, react-server-dom-turbopack e react-server-dom-webpack. O código vulnerável desserializa de forma insegura cargas (payloads) de requisições HTTP para endpoints de Server Function.

Aviso Legal

⚠️ AVISO: Esta ferramenta é apenas para testes de segurança autorizados.

• Use esta ferramenta apenas em sistemas que você possua ou tenha permissão explícita por escrito para testar
• O acesso não autorizado a sistemas de computador é ilegal
• O teste é de sua própria responsabilidade
• Os autores não são responsáveis por qualquer uso indevido ou dano

Requisitos

• Go 1.16 ou superior

Instalação

go build -o exploit exploit.go

Ou execute diretamente:

go run exploit.go

Uso

./exploit -u <URL> -c <command>

Opções

• -u - URL alvo (obrigatório)
• -c - Comando a executar (padrão: id)

Exemplos

# Basic usage
./exploit -u https://vulnerable -c "whoami"

# Execute different command
./exploit -u https://vulnerable -c "ls -la"

# Run directly with go
go run exploit.go -u https://vulnerable -c "pwd"

Captura de Tela

Saída

A ferramenta exibe:

• Código de status HTTP
• Saída da execução do comando (se bem-sucedida)

Referências

• Relatório de Sinal de Ameaça da FortiGuard - Vulnerabilidade RCE React2Shell
• CVE-2025-55182 - NVD