carlosaruy/cve-2025-55182критическая уязвимость удалённого выполнения кода (RCE) в React Server Components (RSC). Также включает реалистичную «Лабораторную среду» для безопасного тестирования и понимания уязвимости.
Этот репозиторий содержит комплексный сканер и инструмент эксплойта для CVE-2025-55182 — критической уязвимости удалённого выполнения кода (RCE) в React Server Components (RSC). Он также включает реалистичную «Лабораторную среду» для безопасного тестирования и изучения уязвимости.
Этот инструмент предназначен только для образовательных целей и авторизованного тестирования. Не используйте этот инструмент на системах, которыми вы не владеете или на тестирование которых у вас нет явного разрешения. Авторы не несут ответственности за любое неправомерное использование.
CVE-2025-55182.py: Основной инструмент на Python для сканирования и эксплуатации.server.js: Уязвимый сервер на Node.js (React 19.0.0).index.html: Интерфейс лаборатории (системная панель управления).flag.txt: Цель захвата флага (защищена от доступа через веб).Dockerfile: Для контейнеризации лаборатории.vulnerability.md: Подробный технический анализ CVE.Соберите и запустите уязвимый контейнер:
docker build -t cve-2025-55182-lab .
docker run -p 3002:3002 cve-2025-55182-lab
Доступ к лаборатории по адресу http://localhost:3002.
Требуется Node.js 18+.
npm install
npm start
Проверьте, уязвима ли цель.
python3 CVE-2025-55182.py scan -u http://localhost:3002/formaction
-u <url>: Целевой URL.-f <file>: Файл, содержащий список URL-адресов.Откройте интерактивную оболочку на цели.
python3 CVE-2025-55182.py exploit -u http://localhost:3002/formaction
После входа в оболочку вы можете выполнять команды, такие как ls, whoami или cat flag.txt.
Лаборатория включает ограниченную зону. Файл flag.txt находится на сервере, но настроен так, чтобы возвращать 403 Forbidden (имитация 404) при обращении через веб-браузер.
Цель: Используйте инструмент эксплойта, чтобы обойти веб-ограничение и прочитать содержимое flag.txt.
См. VULNERABILITY.md для глубокого изучения первопричины, цепочек гаджетов и способов устранения.