CVE-2025-55182 Модульный эксплойт с обходом WAF

Cкрипт на Python, предоставляющий интерактивную оболочку для эксплуатации критической уязвимости удаленного выполнения кода (RCE) CVE-2025-55182 в уязвимых React Server Components и приложениях Next.js. Данный эксплойт нацелен на ошибку десериализации, которая позволяет неаутентифицированное удаленное выполнение кода. Он включает модульную систему для добавления техник обхода WAF.

[!NOTE] Этот эксплойт предназначен для взаимодействия с уязвимым конечным RSC-протоколом. Результаты выполнения захватываются через механизм ответов сервера. Команды, не приводящие к выводу, вернут (empty).

[!CAUTION] Этот код предназначен только для исследовательских и образовательных целей. Он создан, чтобы помочь понять, обнаруживать и устранять уязвимость CVE-2025-55182. Не используйте его против систем без явного разрешения.

Использование этого скрипта осуществляется на свой страх и риск, и автор(ы) не несут ответственности за любое неправомерное использование или непредвиденные последствия.

Используя этот код, пользователь подтверждает и соглашается со следующим:

• Пользователь несет единоличную ответственность за любые юридические последствия, возникшие в результате использования этого скрипта.
• Пользователь не будет привлекать автора(ов) к ответственности за любые убытки, потери или судебные иски, возникшие в результате использования этого кода.
• Пользователь обязуется соблюдать все применимые законы и нормативные акты.
• Пользователь признает, что использование этого скрипта против систем без разрешения может нарушать законы и условия обслуживания, что потенциально может привести к серьезным санкциям.
• Пользователю рекомендуется проконсультироваться с собственным юристом перед использованием этого кода.

Сведения об уязвимости

• CVE ID: CVE-2025-55182 (React Server Components)
• Связанный CVE: CVE-2025-66478 (влияние на downstream-компоненты Next.js)
• Критичность: Critical (CVSS 10.0)
• Описание: Неаутентифицированная уязвимость удаленного выполнения кода (RCE) в React Server Components, затрагивающая приложения, использующие Next.js App Router с уязвимыми версиями React.
• Затронутые версии React: 19.0, 19.1.0, 19.1.1, 19.2.0
• Затронутые версии Next.js: 15.x, 16.x, 14.3.0-canary.77+
• Исправленные версии React: >= 19.0.1, >= 19.1.2, >= 19.2.1
• Исправленные версии Next.js: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

Модули обхода WAF

Данный эксплойт включает динамическую систему модулей обхода WAF. Модули хранятся в каталоге waf_modules в виде отдельных файлов Python. Каждый модуль должен определять функцию modify_request(body, headers), которая принимает тело запроса и заголовки по умолчанию, изменяет их по мере необходимости для обхода и возвращает новые body, headers.

• Добавление модуля: Создайте новый файл Python (например, bypass_custom.py) в каталоге waf_modules, содержащий функцию modify_request.
• Использование модуля: Запустите скрипт с флагом --help, чтобы увидеть доступные варианты обхода (например, --bypass-custom для bypass_custom.py). Используйте соответствующий флаг для активации модуля.

Пример: Модуль bypass_vercel.py включен в качестве примера и реализует техники, потенциально эффективные против развертываний Vercel.

Расширенная конфигурация сессии (--modify-request)

Скрипт позволяет напрямую изменять определенные атрибуты объекта requests.Session, используемого для выполнения HTTP-запросов. Это обеспечивает детальный контроль над такими аспектами, как проверка SSL, таймауты и, возможно, другие настройки уровня сессии.

• Использование: Используйте флаг --modify-request <KEY> <VALUE>. <KEY> соответствует атрибуту объекта requests.Session (например, verify, timeout).
• Преобразование типов: Скрипт пытается выполнить базовое преобразование типов для <VALUE>: true/false становятся булевыми значениями, числовые строки становятся целыми числами или числами с плавающей запятой, в противном случае значение остается строкой.
• Конкретный пример — проверка SSL:
  • Чтобы включить проверку SSL: --modify-request verify True
  • Чтобы отключить проверку SSL: --modify-request verify False (эквивалентно старому флагу --insecure)
• Справка: Используйте python CVE-2025-55182.py --help-modify-request для древовидного представления распространенных опций.

Предварительные требования

• Python 3.x
• Необходимые библиотеки Python (см. requirements.txt)

Установка

1. Установите зависимости Python: Рекомендуется использовать виртуальное окружение (например, python -m venv venv и source venv/bin/activate в Unix-подобных системах или venv\Scripts\activate в Windows).
   root@kitploit:~

   pip install -r requirements.txt
   

2. Создайте каталог waf_modules:
   root@kitploit:~

   mkdir waf_modules
   

   Поместите файлы модулей обхода WAF (например, bypass_vercel.py) в этот каталог.

Запуск эксплойта

1. Настройте уязвимое окружение (только для тестирования):

   root@kitploit:~

   docker run --rm -p 127.0.0.1:3000:3000 ghcr.io/l4rm4nd/cve-2025-55182:latest
   

   Дополнительная информация: https://github.com/l4rm4nd/CVE-2025-55182

2. Выполните скрипт:

   root@kitploit:~

   python CVE-2025-55182.py --help # Чтобы увидеть все опции, включая обходы WAF
   # Пример с модулем обхода:
   python CVE-2025-55182.py --host 127.0.0.1 --port 3000 --endpoint / --bypass-vercel
   

   Если не использовать аргументы командной строки, скрипт в интерактивном режиме запросит host, port и endpoint.

3. Взаимодействуйте с оболочкой:

   • Вводите команды и нажимайте Enter для их выполнения на целевой системе.
   • Введите exit или quit для завершения сессии оболочки.