Exploit Modular CVE-2025-55182 com Bypass de WAF

Um script Python que fornece um shell interativo para explorar a vulnerabilidade crítica de RCE (CVE-2025-55182) em aplicações React Server Components e Next.js vulneráveis. Este exploit visa a falha de desserialização que permite execução remota de código não autenticada. Ele inclui um sistema modular para adicionar técnicas de bypass de WAF.

[!NOTE] Este exploit foi projetado para interagir com o endpoint do protocolo RSC vulnerável. Os resultados da execução são capturados por meio do mecanismo de resposta do servidor. Comandos que não geram saída retornarão (empty).

[!CAUTION] Este código é apenas para fins de pesquisa e educação. Destina-se a ajudar a entender, detectar e remediar a vulnerabilidade CVE-2025-55182. Não o utilize contra sistemas sem autorização explícita.

O uso deste script é por conta e risco do usuário, e o(s) autor(es) não assume(m) nenhuma responsabilidade por uso indevido ou consequências não intencionais.

Ao usar este código, o usuário reconhece e concorda com o seguinte:

• O usuário é o único responsável por quaisquer consequências legais decorrentes do uso deste script.
• O usuário não responsabilizará o(s) autor(es) por quaisquer danos, perdas ou ações legais resultantes do uso deste código.
• O usuário concorda em cumprir todas as leis e regulamentos aplicáveis.
• O usuário reconhece que usar este script contra sistemas sem permissão pode violar leis e termos de serviço, podendo levar a penalidades severas.
• O usuário é aconselhado a consultar seu próprio advogado antes de usar este código.

Detalhes da Vulnerabilidade

• ID do CVE: CVE-2025-55182 (React Server Components)
• CVE Relacionado: CVE-2025-66478 (impacto downstream do Next.js)
• Severidade: Crítica (CVSS 10.0)
• Descrição: Vulnerabilidade de Execução Remota de Código (RCE) não autenticada em React Server Components, afetando aplicações que usam o Next.js App Router com versões vulneráveis do React.
• Versões do React Afetadas: 19.0, 19.1.0, 19.1.1, 19.2.0
• Versões do Next.js Afetadas: 15.x, 16.x, 14.3.0-canary.77+
• Versões Corrigidas do React: >= 19.0.1, >= 19.1.2, >= 19.2.1
• Versões Corrigidas do Next.js: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

Módulos de Bypass de WAF

Este exploit possui um sistema modular dinâmico de bypass de WAF. Os módulos são armazenados no diretório waf_modules como arquivos Python separados. Cada módulo deve definir uma função modify_request(body, headers) que recebe o corpo e os cabeçalhos padrão da requisição, modifica-os conforme necessário para o bypass e retorna o novo body, headers.

• Adicionar um Módulo: Crie um novo arquivo Python (por exemplo, bypass_custom.py) no diretório waf_modules contendo a função modify_request.
• Usar um Módulo: Execute o script com a flag --help para ver as opções de bypass disponíveis (por exemplo, --bypass-custom para bypass_custom.py). Use a flag correspondente para ativar o módulo.

Exemplo: Um módulo bypass_vercel.py é incluído como exemplo, implementando técnicas potencialmente eficazes contra implantações da Vercel.

Configuração Avançada de Sessão (--modify-request)

O script permite a modificação direta de determinados atributos do objeto requests.Session usado para fazer requisições HTTP. Isso oferece controle granular sobre aspectos como verificação de SSL, timeouts e potencialmente outras configurações de nível de sessão.

• Uso: Use a flag --modify-request <KEY> <VALUE>. O <KEY> corresponde a um atributo do objeto requests.Session (por exemplo, verify, timeout).
• Conversão de Tipo: O script tenta fazer uma conversão básica de tipo para <VALUE>: true/false viram booleanos, strings numéricas viram inteiros ou floats, caso contrário permanece uma string.
• Exemplo Específico - Verificação de SSL:
  • Para ativar a verificação de SSL: --modify-request verify True
  • Para desativar a verificação de SSL: --modify-request verify False (equivalente à antiga flag --insecure)
• Ajuda: Use python CVE-2025-55182.py --help-modify-request para uma visualização em árvore das opções comuns.

Pré-requisitos

• Python 3.x
• Bibliotecas Python necessárias (veja requirements.txt)

Configuração

1. Instalar as dependências Python: É recomendado usar um ambiente virtual (por exemplo, python -m venv venv e source venv/bin/activate em sistemas Unix-like ou venv\Scripts\activate no Windows).
   root@kitploit:~

   pip install -r requirements.txt
   

2. Criar o diretório waf_modules:
   root@kitploit:~

   mkdir waf_modules
   

   Coloque seus arquivos de módulo de bypass de WAF (por exemplo, bypass_vercel.py) dentro deste diretório.

Executando o Exploit

1. Configurar um ambiente vulnerável (somente para testes):

   root@kitploit:~

   docker run --rm -p 127.0.0.1:3000:3000 ghcr.io/l4rm4nd/cve-2025-55182:latest
   

   Mais informações: https://github.com/l4rm4nd/CVE-2025-55182

2. Executar o script:

   root@kitploit:~

   python CVE-2025-55182.py --help # To see all options, including WAF bypasses
   # Example with a bypass module:
   python CVE-2025-55182.py --host 127.0.0.1 --port 3000 --endpoint / --bypass-vercel
   

   Se não usar argumentos de linha de comando, o script solicitará interativamente host, porta e endpoint.

3. Interagir com o shell:

   • Digite comandos e pressione Enter para executá-los no sistema alvo.
   • Digite exit ou quit para encerrar a sessão do shell.