CVE-2025-55182 - React RSC RCE

PoC для уязвимости десериализации в протоколе Flight в React Server Components.

Что это?

Next.js 14+ и React 19 используют проприетарный протокол («Flight») для обмена данными между клиентом и сервером. Проблема: сервер загружает любой модуль без проверки. Поэтому можно заставить его выполнить child_process — и бум, RCE.

Использование

python CVE-2025-55182.py -t <IP> -p <PORT> --cmd "id"

Затронутые версии

• Next.js < 14.2.21
• Next.js < 15.1.2
• React < 19.2.1

Исправление

Обнови свои зависимости. Вот и всё.

Отказ от ответственности

Используйте только на системах, которыми вы владеете, или при наличии письменного разрешения. Я не несу ответственности, если вы натворите глупостей.