klassiker/cve-2025-55182Анализ на основе CodeQL уязвимости загрязнения прототипа CVE-2025-55182 в React Server Components, с POC-эксплойтом и статическими запросами обнаружения для небезопасного обхода свойств.
Сборка и запуск:
docker compose build
docker compose run --rm --entrypoint 'npm install' node
docker compose run --rm --entrypoint 'npm run build' node
docker compose up
POC (из https://github.com/msanft/CVE-2025-55182):
node poc.js
Эксперименты с unbundled:
yarn --immutable
node --conditions react-server app.js
Клонируйте facebook/react и создайте unbundled:
yarn --immutable
yarn cross-env RELEASE_CHANNEL=experimental node ./scripts/rollup/build.js react-server-dom-webpack/ --type=NODE_DEV
cp ./build/node_modules/react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.unbundled.development.js \
codeql/${version}/
Подготовьте CodeQL:
codeql database create db -l javascript -s codeql
cd queries && codeql pack install
codeql query run ./queries/PrototypeTraversal.ql -d db
Promise.resolve(userData)
await non-native-promise
await функций, которые не возвращают нативное обещаниеawait на методе, который (иногда) возвращает необработанные данныеОн выявил исправленное использование в getOutlinedModel (добавлен hasOwnProperty.call) и удалённое в createModelResolver (теперь fulfillReference).
| filename | source | sink | |
|---|---|---|---|
| ./19.2.0/react-server-dom-webpack-server.node.unbundled.development.js | parentObject[reference[key]] | parentObject[reference[key]] | Небезопасный обход прототипа: Переменная 'parentObject' обновляется собственным свойством внутри цикла. |
| ./19.2.0/react-server-dom-webpack-server.node.unbundled.development.js | parentObject[reference[key]] | parentObject[reference[key]] | Небезопасный обход прототипа: Переменная 'parentObject' обновляется собственным свойством внутри цикла. |
| ./19.2.0/react-server-dom-webpack-server.node.unbundled.development.js | value[path[i]] | value[path[i]] | Небезопасный обход прототипа: Переменная 'value' обновляется собственным свойством внутри цикла. |
| ./tests.js | value[path[i]] | c | Небезопасный обход прототипа: Переменная 'value' обновляется собственным свойством внутри цикла. |
| ./tests.js | value[path[i]] | c | Небезопасный обход прототипа: Переменная 'value' обновляется собственным свойством внутри цикла. |
| ./tests.js | value[path[i]] | value[path[i]] | Небезопасный обход прототипа: Переменная 'value' обновляется собственным свойством внутри цикла. |
| ./vuln.js | parentObject[reference[key]] | parentObject[reference[key]] | Небезопасный обход прототипа: Переменная 'parentObject' обновляется собственным свойством внутри цикла. |
| ./vuln.js | value[path[i]] | value[path[i]] | Небезопасный обход прототипа: Переменная 'value' обновляется собственным свойством внутри цикла. |
Я не знаю, почему первый и второй указывают на одно и то же место, а выделенный в vuln.js — нет.
В codeql/tests.js есть эти три варианта:
var value = {};
for (let i = 0; i < path.length; i++) {
value = value[path[i]] // VarAccess
}
var value = {};
for (let i = 0; i < path.length; i++) {
let c = value[path[i]] // VarDecl
value = c
}
var value = {};
for (let i = 0; i < path.length; i++) {
let c
c = value[path[i]] // use VarRef
value = c
}