CVE-2025-55182 // RCE В REACT SERVER COMPONENTS

[ ОБЗОР ] Эксплойт PoC для CVE-2025-55182. Нацелен на уязвимости в небезопасных версиях и функциях проверки ввода в React Server Components.

[ ТЕХНИЧЕСКИЙ МЕХАНИЗМ ]

• Вектор : Prototype pollution через $1:proto:then во время hydration.
• Пейлоад : RCE через process.mainModule.require('child_process').
• Эксфильтрация : Утечка данных через заголовки X-Action-Redirect.

[ ТРЕБОВАНИЯ ]

• python3
• requests

[ СТРАТЕГИИ ]

• стандартная : Прямое выполнение child_process.
• обфусцированная : Функция обхода с использованием шестнадцатеричного кодирования для обхода базовых шаблонов WAF.

[ ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ ] Только для авторизованных исследований безопасности и образовательных целей.

[ ИСПОЛЬЗОВАНИЕ ]

Базовая проверка

python3 exploit.py -t -c "id"

Попытка обхода WAF

python3 exploit.py -t -c "cat /etc/passwd (RCE Command)" -s obfuscated