React2Shell Exploit

Proof of Concept (PoC) для уязвимости удаленного выполнения кода в React Server Components (RSC) / Next.js.

Описание

В React Server Components версий 19.0.0, 19.1.0, 19.1.1 и 19.2.0, включая пакеты react-server-dom-parcel, react-server-dom-turbopack и react-server-dom-webpack, существует предварительно аутентифицированная уязвимость удаленного выполнения кода. Уязвимый код небезопасно десериализует полезные данные из HTTP-запросов к конечным точкам Server Function.

Отказ от ответственности

⚠️ ПРЕДУПРЕЖДЕНИЕ: Этот инструмент предназначен только для авторизованного тестирования безопасности.

• Используйте этот инструмент только в системах, которые вам принадлежат или на тестирование которых вы получили явное письменное разрешение.
• Несанкционированный доступ к компьютерным системам является незаконным.
• Тестирование осуществляется на вашу ответственность.
• Авторы не несут ответственности за любое неправомерное использование или ущерб.

Требования

• Go 1.16 или выше

Установка

go build -o exploit exploit.go

Или запустите напрямую:

go run exploit.go

Использование

./exploit -u <URL> -c <команда>

Параметры

• -u — целевой URL (обязательно)
• -c — команда для выполнения (по умолчанию: id)

Примеры

# Базовое использование
./exploit -u https://vulnerable -c "whoami"

# Выполнить другую команду
./exploit -u https://vulnerable -c "ls -la"

# Запуск напрямую через go
go run exploit.go -u https://vulnerable -c "pwd"

Скриншот

Вывод

Инструмент выводит:

• HTTP-код состояния
• Результат выполнения команды (в случае успеха)

Ссылки

• FortiGuard Threat Signal Report - React2Shell RCE Vulnerability
• CVE-2025-55182 - NVD