React2Shell — это инструмент для подтверждения концепции (PoC) на Python, предназначенный для эксплуатации уязвимостей CVE-2025-55182 и CVE-2025-66478, затрагивающих приложения Next.js, использующие React Server Components (RSC). Инструмент обеспечивает удаленное выполнение JavaScript-кода (RCE) путем генерации и доставки вредоносной полезной нагрузки, использующей поведение десериализации RSC. Он предназначен для исследователей безопасности, тестировщиков на проникновение и операторов красных команд, проводящих авторизованные оценки.

Отказ от ответственности

Данный инструмент предоставляется строго в образовательных целях и для исследований в области безопасности. Авторы не несут ответственности за неправомерное использование. Вы несете единоличную ответственность за обеспечение законного и авторизованного использования.

Версия и авторы

React2Shell v1.0 — PoC на Python для эксплуатации CVE-2025-55182 / CVE-2025-66478

Написано с ❤️ @shyambhanushali & @nickvourd

Лицензия MIT

Репозиторий: https://github.com/shyambhanushali/React2Shell

ИСПОЛЬЗОВАНИЕ

react2shell.py [-h] -t TARGET -c COMMAND

опции:

-h, --help показать это справочное сообщение и выйти

-t, --target TARGET Целевой URL (например, http://localhost:3000)

-c, --command Команда для выполнения на цели