CVE-2025-55182 – Локальная лаборатория RCE (React Server Components)

Этот репозиторий представляет собой небольшую локальную лабораторию для понимания того, как CVE-2025-55182 работает на практике в заведомо уязвимом приложении React Server Components / Next.js.

Он предназначен только для обучения, защитных команд (blue teaming) и повышения осведомленности о безопасной разработке.

Полное описание и предысторию смотрите:
https://medium.com/@terwaljoop/cve-2025-55182-how-this-rce-works-in-the-real-world-b7d0564e5466

Отказ от ответственности

• Этот код предназначен только для обучения и тестирования в локальной среде
• Не используйте этот PoC против систем, которые вам не принадлежат или на тестирование которых у вас нет явного разрешения
• Цель — понять путь атаки и улучшить защиту, а не атаковать реальные цели

Используя эту лабораторию, вы соглашаетесь с тем, что несете ответственность за свои действия.

Структура репозитория

vulreactapp/
├─ vuln-app-CVE-2025-55182/   # Уязвимое приложение Next.js / RSC
│  ├─ app/
│  ├─ curl_id.sh              # Вспомогательный скрипт для запуска RCE в лаборатории
│  ├─ next.config.js
│  ├─ package.json
│  ├─ package-lock.json
│  └─ ...
└─ react2shell-scanner/       # Необязательный вспомогательный сканер (nuclei и т.д.)
   ├─ list.txt
   ├─ scan.yaml
   ├─ scanner.py
   └─ ...