React2Shell: лаборатория уязвимого банковского приложения

Преднамеренно уязвимое банковское приложение для CVE-2025-55182 (React) и CVE-2025-66478 (Next.js), позволяющее изучать, обнаруживать и безопасно отрабатывать React2Shell. Работает на непропатченных React 19.0.0 и Next.js 15.0.3.

Обзор

• Вымышленный SecureBank, созданный на Next.js App Router и Server Actions.
• Конфигурация по умолчанию, без собственного опасного кода, намеренно оставлена без исправлений.
• Разработано для изучения небезопасной десериализации в протоколе RSC «Flight» и практики обнаружения и смягчения последствий.

Быстрый старт (рекомендуется Docker)

# 1. Start the lab
docker-compose up -d

# 2. Open the app
http://localhost:3000

# 3. Stop when done
docker-compose down

Демо-учётные данные:

admin / admin123
johndoe / password123
janedoe / password456

Ручная настройка и режим разработки

Ручной запуск в режиме продакшена:

npm install --legacy-peer-deps
npm run build
npm start
# Visit http://localhost:3000

Разработка с горячей перезагрузкой:

npm install --legacy-peer-deps
npm run dev

Примечания:

• Всегда используйте --legacy-peer-deps из-за намеренной фиксации версий.
• Если порт 3000 занят, измените сопоставление в docker-compose.yml (например, 3001:3000) или задайте переменную PORT перед запуском.

Краткий статус работы

• Контейнер: react2shell-vulnerable-bank
• Порт: 3000 (ожидается HTTP 200 OK)
• Уязвимые версии: React 19.0.0, Next.js 15.0.3

Полезные команды:

docker-compose ps
docker-compose logs -f vulnerable-bank
docker-compose restart
docker-compose build --no-cache && docker-compose up -d

Сводка об уязвимости (React2Shell)

• CVE-2025-55182 (React) и CVE-2025-66478 (Next.js) позволяют удалённо выполнить код без аутентификации (RCE) через небезопасную десериализацию в RSC.

Затронутые версии:

• React: 19.0.0, 19.1.0, 19.1.1, 19.2.0
• Next.js: >=14.3.0-canary.77, все 15.x, 16.x без исправлений

Реалии эксплуатации

• Не существует публично известного эксплойта RCE для приложения по умолчанию; на react2shell.com сказано: «Следите за обновлениями».
• PoC, вручную раскрывающие child_process, vm или fs, не являются показательными.

Ссылки

• Консультация Vercel/Next.js: https://github.com/vercel/next.js/security/advisories/GHSA-9qr9-h5gf-34mp
• The Hacker News: https://thehackernews.com/2025/12/critical-rsc-bugs-in-react-and-nextjs.html
• Обнаружение RSC от Slcyber: https://slcyber.io/research-center/high-fidelity-detection-mechanism-for-rsc-next-js-rce-cve-2025-55182-cve-2025-66478/
• Сканер React2Shell от Assetnote: https://github.com/assetnote/react2shell-scanner
• Информационный хаб React2Shell: https://react2shell.com/
• Анализ Wiz: https://www.wiz.io/blog/critical-vulnerability-in-react-cve-2025-55182
• Исследование Akamai: https://www.akamai.com/blog/security-research/cve-2025-55182-react-nextjs-server-functions-deserialization-rce