React-2025 CTF Lab: CVE-2025-55182

Обзор

Этот репозиторий содержит лабораторную работу Capture The Flag (CTF), предназначенную строго для образовательных целей и исследований в области безопасности.

Окружение включает уязвимый витринный интернет-магазин Next.js 16 («Quantum Supplies»), специально созданный для демонстрации и отработки эксплуатации CVE-2025-55182 — критической уязвимости десериализации в протоколе Flight компонентов React Server Components.

(Ссылка на подробное руководство по прохождению и эксплуатации в Notion будет добавлена чуть позже).

Структура репозитория

• /app: Содержит полный исходный код уязвимого веб-приложения Next.js, включая имитацию базы данных, пользовательский UI-стиль Dark Liquid Glass и уязвимые серверные действия (server actions).
• /documents: Содержит журналы и вопросы/ответы, детализирующие архитектуру приложения и механизмы уязвимости, которые мы использовали при создании этой лабораторной среды вместе с ИИ.
• /solution: Содержит серию подробных документов с разбором, использованных для проверки приложения. Сюда входят финальный скрипт solve.py, пошаговые руководства по ручной эксплуатации через Burp Suite и углублённые ответы, объясняющие структуру React Flight-полезной нагрузки (solution6.md и т. д.).

Запуск этого сервера

Приложение полностью контейнеризировано с помощью Docker для безопасного исследования. Чтобы поднять уязвимый сервер и имитацию бэкенда, выполните следующие команды из корневого каталога:

# Сборка Docker-образа и запуск контейнера в фоновом режиме
sudo docker compose up -d --build

Приложение будет доступно в вашем браузере по адресу http://localhost:10001.

Примечание: контейнер автоматически создаёт целевой файл /flag/flag.txt, необходимый для выполнения CTF-задания.