Сканер CVE-2025-55182

Сканер для проверки концепции уязвимости CVE-2025-55182, критической неаутентифицированной уязвимости удаленного выполнения кода (RCE) в React Server Components (RSC).

Обзор

3 декабря 2025 года была раскрыта критическая уязвимость, затрагивающая приложения React 19.x и Next.js, использующие React Server Components. Ошибка находится в логике десериализации протокола "Flight" RSC, позволяя злоумышленникам выполнять произвольный код на сервере через специально созданные HTTP-запросы.

Серьезность

Воздействие

• Неаутентифицированное удаленное выполнение кода
• Полная компрометация сервера
• Сбор учетных данных из переменных окружения
• Эксфильтрация метаданных облака
• Горизонтальное перемещение внутри инфраструктуры

Затронутые версии

Использование

Сканирование одной цели

go run ./cmd/main.go -t https://example.com

Одна цель с интерактивной оболочкой

go run ./cmd/main.go -t https://example.com -shell

Пакетное сканирование из файла

go run ./cmd/main.go -f targets.txt -c 20

Экспорт результатов

go run ./cmd/main.go -f targets.txt -json results.json -csv results.csv

Параметры

Пример вывода

React2Shell Scanner v1.0.0
CVE-2025-55182 | React Server Components RCE
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

[+] УЯЗВ  https://app.example.com/ 142ms
[-] БЕЗОП  https://api.example.com/ 203ms
[!] ОШИБКА https://internal.example.com/ (тайм-аут) 15000ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
СКАНИРОВАНИЕ ЗАВЕРШЕНО

  Целей отсканировано:    3
  Уязвимых:         1 (33%)
  Безопасных:               1
  Ошибок:             1

  Длительность:           15.4s
  Средний ответ:       5115ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
УЯЗВИМЫЕ ЦЕЛИ

  1. https://app.example.com/

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
УСТРАНЕНИЕ

  Обновите до исправленных версий:

  Next.js:
    15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

  react-server-dom:
    19.0.1, 19.1.2, 19.2.1

Технические детали

Уязвимость существует в обработке сериализованных полезных нагрузок протокола "Flight" RSC. При обработке специально созданных многокомпонентных данных формы сервер не проверяет должным образом структуру полезной нагрузки, что приводит к загрязнению прототипа и, в конечном итоге, к произвольному выполнению кода.

Вектор атаки

1. Злоумышленник отправляет искаженную полезную нагрузку RSC через POST-запрос
2. Сервер десериализует полезную нагрузку без надлежащей проверки
3. Загрязнение прототипа позволяет доступ к конструктору
4. Произвольный JavaScript выполняется в контексте Node.js
5. Вывод команды эксфильтрируется через заголовок перенаправления

Обнаружение

Ищите POST-запросы, содержащие:

• Заголовок Next-Action
• Многокомпонентные данные формы с ссылками на __proto__
• Необычные ответы с заголовком X-Action-Redirect

Устранение

1. Немедленно: Обновите до исправленных версий, указанных выше
2. Правила WAF: Блокируйте запросы, содержащие __proto__ в теле
3. Мониторинг: Оповещайте о подозрительных шаблонах заголовка Next-Action
4. Сеть: Ограничьте исходящие соединения с серверов Next.js

Отказ от ответственности

ТОЛЬКО ДЛЯ ВНУТРЕННЕГО ИСПОЛЬЗОВАНИЯ

Этот инструмент предназначен только для авторизованного тестирования безопасности. Используйте только против систем, которыми вы владеете или на тестирование которых имеете явное разрешение. Несанкционированный доступ к компьютерным системам незаконен.

Ссылки

• Рекомендация Wiz Research
• Бюллетень безопасности React
• Рекомендация Vercel

Лицензия

Только для внутреннего использования. Не для распространения.