Инструмент эксплуатации Next.js RSC RCE (CVE-2025-55182)

Nextjs_Exploit_Tool

Описание проекта

CVE-2025-55182 — это высокоопасная уязвимость в цепочке обработки серверных компонентов (RSC) Next.js. Злоумышленник, формируя специальные запросы multipart/form-data и поддельные блоки ответа RSC, может заставить сервер выполнить произвольный JavaScript-код и в конечном итоге выполнить удаленную команду через process.mainModule.require('child_process').

Данный проект упаковывает цепочку эксплуатации уязвимости в графический настольный инструмент, снижая затраты на проверку для исследователей безопасности в авторизованных тестовых средах. Включает:

Автоматическое обнаружение арифметических зондов
Выполнение команд (синхронное/асинхронное, с/без вывода)
Выполнение произвольного JS-кода
Удаленное чтение, запись и перечисление директорий файлов
Динамическая загрузка модулей Node
Обфускация полезной нагрузки с помощью Unicode/UTF-16/AES для обхода типичных WAF
Поддержка прокси HTTP/HTTPS/SOCKS5

Быстрый старт

1. Клонирование репозитория

git clone <repo-url> Nextjs_Exploit_Tool
cd Nextjs_Exploit_Tool

2. Сборка production-пакета

wails build

Сборка располагается в build/bin/:

macOS: NextjsExploitTool.app
Windows: NextjsExploitTool.exe
Linux: NextjsExploitTool

3. Кросс-компиляция

# Windows (кросс-компиляция из macOS/Linux)
GOOS=windows wails build

# Linux (кросс-компиляция из macOS, требуется mingw-w64)
GOOS=linux wails build

Перед кросс-компиляцией необходимо настроить цепочку инструментов C для соответствующей платформы. Подробнее см. в документации Wails.

Демонстрация главного экрана

usage

Ссылки

https://github.com/pyroxenites/Nextjs_RCE_Exploit_Tool

Отказ от ответственности

Данный проект предназначен только для авторизованного тестирования безопасности, исследований безопасности и образовательных демонстраций. Пользователи должны соблюдать местные законы и нормативные акты и получить явное письменное разрешение владельца целевой системы.

Запрещается использовать на неавторизованных реальных целях
Запрещается использовать для разрушения, вторжения или нарушения работоспособности чужих систем
Автор не несет ответственности за любые последствия, вызванные злоупотреблением данным инструментом

Использование данного инструмента означает, что вы прочитали и согласны с вышеуказанными условиями. Если вы не уверены в законности своих действий, не используйте его.

Лицензия

Данный проект предназначен только для исследовательских и авторизованных тестовых целей.