CVE-2025-55182 и CVE-2025-66478 Проверка уязвимостей

Неинтрузивный инструмент обнаружения для выявления уязвимых реализаций React Server Components (RSC), подверженных влиянию CVE-2025-55182 (React) и CVE-2025-66478 (Next.js). Этот инструмент выполняет активное обнаружение с использованием безвредных, незлонамеренных полезных нагрузок для определения, уязвим ли сервер, без выполнения какого-либо вредоносного кода.

Обзор

CVE-2025-55182 и CVE-2025-66478 — это критические уязвимости удаленного выполнения кода (RCE) без аутентификации в протоколе "Flight" React Server Components. Эти уязвимости затрагивают:

• React: версии react-server-dom 19.0.0, 19.1.0, 19.1.1 и 19.2.0
• Next.js: версии 14.3.0-canary, 15.x и 16.x (App Router)

Уязвимости возникают из-за небезопасной десериализации в логике обработки полезных нагрузок RSC, что позволяет данным, контролируемым злоумышленником, влиять на выполнение на стороне сервера. Стандартные конфигурации уязвимы — стандартное приложение Next.js, созданное с помощью create-next-app, может быть эксплуатировано без каких-либо изменений кода.

Как это работает

Этот инструмент выполняет активное обнаружение уязвимостей путем:

1. Отправки безвредных тестовых полезных нагрузок, которые запускают уязвимые пути кода без выполнения вредоносного кода
2. Анализа ответов об ошибках на наличие уникальных сигнатур, указывающих, был ли достигнут уязвимый или исправленный путь кода
3. Предоставления уровней уверенности (HIGH, MEDIUM, LOW) на основе найденных доказательств

Инструмент использует три метода обнаружения:

• Тип $F (серверная ссылка): Проверяет путь кода loadServerReference
• Тип $L (ленивая загрузка): Проверяет путь кода arrayBuffer
• Метод обнаружения assetnote

Важно: Этот инструмент НЕ выполняет никакого вредоносного кода. Он только отправляет тщательно crafted безвредные полезные нагрузки, предназначенные для запуска ответов об ошибках, которые раскрывают статус уязвимости сервера.

Базовое использование

python react2shell_scanner.py --target https://example.com

С пользовательским идентификатором действия

python react2shell_scanner.py --target https://example.com --action-id YOUR_ACTION_ID

Подробный вывод

python react2shell_scanner.py --target https://example.com --verbose

Аргументы командной строки

Пример вывода

Уязвимый сервер

[+] CVE-2025-55182 and CVE-2025-66478 Vulnerability Checker

[*] Target:    https://example.com
[*] Action ID: c67c4e1a40fcc26b5e3c0d5d17f16786f4244989

[*] Test 1: Sending $F (Server Reference) payload...
    Status: 500, Evidence: workers
[*] Test 2: Sending $L (Lazy) payload...
    Status: 500, Evidence: arraybuffer

[+] Result:
[!] Status:     LIKELY VULNERABLE
[!] Confidence: HIGH
[!] Evidence:   workers
[!] Details:    Server reached loadServerReference (Flight $F deserialization bypass)

[!] RECOMMENDATION: Upgrade to patched version
======================================================================

Исправленный сервер

[+] CVE-2025-55182 and CVE-2025-66478 Vulnerability Checker

[*] Target:    https://example.com
[*] Action ID: c67c4e1a40fcc26b5e3c0d5d17f16786f4244989

[*] Test 1: Sending $F (Server Reference) payload...
    Status: 500, Evidence: could not find the module
[*] Test 2: Sending $L (Lazy) payload...
    Status: 500, Evidence: in the react server manifest

[+] Result:
[+] Status:     LIKELY NOT VULNERABLE
[+] Confidence: HIGH
[+] Evidence:   could not find the module
[+] Details:    Server rejected payload with security error (patched)
======================================================================

Методология обнаружения

Сигнатуры уязвимости

Инструмент ищет следующие шаблоны ошибок, указывающие на уязвимость:

• workers — Сервер достиг loadServerReference (HIGH confidence)
• arraybuffer — Сервер достиг обработчика типа $L (HIGH confidence)
• cannot read properties of null (reading 'id') — Сервер достиг loadServerReference с нулевыми метаданными (HIGH confidence)
• entries — Серверное действие получило десериализованный объект вместо FormData (MEDIUM confidence)
• temporary client reference — Сервер обработал ссылку типа $T (MEDIUM confidence)

Сигнатуры исправленной версии

Следующие шаблоны ошибок указывают на то, что сервер исправлен:

• could not find the module
• in the react server manifest
• Invalid server reference
• Server reference not found
• Unexpected token
• is probably a bug in the react server components bundler

Затронутые продукты

Другие фреймворки, использующие RSC, также могут быть затронуты:

• Vite RSC plugin
• Parcel RSC plugin
• React Router RSC preview
• RedwoodSDK
• Waku

Устранение уязвимости

Требуется немедленное действие: Обновитесь до исправленных версий:

• React: Обновитесь до react-server-dom 19.0.1, 19.1.2 или 19.2.1
• Next.js: Обновитесь до последней исправленной версии (см. таблицу выше)
• Другие RSC фреймворки: Проверьте официальные каналы на предмет обновлений касательно встроенных версий react-server

Уведомление о безопасности

Этот инструмент предназначен для защитного тестирования безопасности и оценки уязвимостей. Он использует только безвредные полезные нагрузки, которые не выполняют вредоносный код. Однако:

• Используйте этот инструмент только на системах, которыми вы владеете или на тестирование которых имеете явное разрешение
• Инструмент может создавать журналы ошибок на целевом сервере
• Используйте ответственно и в соответствии с действующим законодательством и нормативными актами

Отказ от ответственности

Этот инструмент предоставляется "как есть" без каких-либо гарантий. Авторы не несут ответственности за любое неправомерное использование или ущерб, причиненный этим инструментом. Всегда убедитесь, что у вас есть соответствующие разрешения перед тестированием любых систем.