CVE-2025-55182 扫描器

用于 CVE-2025-55182 的概念验证扫描器，这是一个影响 React 服务器组件 (RSC) 的严重未授权远程代码执行 (RCE) 漏洞。

概述

2025年12月3日，披露了一个影响使用 React 服务器组件的 React 19.x 和 Next.js 应用程序的严重漏洞。该漏洞存在于 RSC "Flight" 协议的反序列化逻辑中，允许攻击者通过精心构造的 HTTP 请求在服务器上执行任意代码。

严重性

属性	值
CVE	CVE-2025-55182
CVSS	严重
攻击向量	网络
身份认证	无
利用情况	已在野外被积极利用

影响

• 未授权远程代码执行
• 完全服务器沦陷
• 从环境变量窃取凭据
• 云元数据外泄
• 基础设施内横向移动

受影响版本

产品	受影响版本	修复版本
react-server-dom	19.0.x, 19.1.x, 19.2.x	19.0.1, 19.1.2, 19.2.1
Next.js (App Router)	14.3.0-canary.77+, 15.x, 16.x	15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

使用方法

单目标扫描

go run ./cmd/main.go -t https://example.com

单目标交互式 Shell

go run ./cmd/main.go -t https://example.com -shell

从文件批量扫描

go run ./cmd/main.go -f targets.txt -c 20

导出结果

go run ./cmd/main.go -f targets.txt -json results.json -csv results.csv

选项

标志	描述	默认值
-t, -target	单个目标 URL
-f, -file	包含目标 URL 的文件
-c, -concurrency	并发扫描器数量	10
-timeout	HTTP 超时时间（秒）	15
-json	将结果导出为 JSON 文件
-csv	将结果导出为 CSV 文件
-q, -quiet	隐藏横幅和进度	false
-s, -shell	对易受攻击的目标启用交互式 Shell	false

输出示例

React2Shell Scanner v1.0.0
CVE-2025-55182 | React 服务器组件 RCE
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

[+] 漏洞  https://app.example.com/ 142ms
[-] 安全  https://api.example.com/ 203ms
[!] 错误  https://internal.example.com/ (超时) 15000ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
扫描完成

  已扫描目标数：    3
  易受攻击：        1 (33%)
  安全：            1
  错误：            1

  持续时间：        15.4s
  平均响应：        5115ms

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
易受攻击的目标

  1. https://app.example.com/

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
修复建议

  升级到已修复的版本：

  Next.js:
    15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7

  react-server-dom:
    19.0.1, 19.1.2, 19.2.1

技术细节

该漏洞存在于 RSC "Flight" 协议处理序列化负载的过程中。当处理精心构造的多部分表单数据时，服务器未能正确验证负载结构，导致原型污染，进而实现任意代码执行。

攻击向量

1. 攻击者通过 POST 请求发送格式错误的 RSC 负载
2. 服务器在未进行适当验证的情况下反序列化负载
3. 原型污染允许访问构造函数
4. 在 Node.js 上下文中执行任意 JavaScript
5. 通过重定向标头外泄命令输出

检测方法

查找包含以下内容的 POST 请求：

• Next-Action 标头
• 包含 __proto__ 引用的多部分表单数据
• 异常的 X-Action-Redirect 响应

修复建议

1. 立即：升级到上述修复版本
2. WAF 规则：阻止请求体中包含 __proto__ 的请求
3. 监控：对可疑的 Next-Action 标头模式发出告警
4. 网络：限制 Next.js 服务器的出站连接

免责声明

仅供内部使用

此工具仅用于授权的安全测试。仅对您拥有或获得明确测试许可的系统使用。未经授权访问计算机系统是违法的。

参考

• Wiz 研究公告
• React 安全公告
• Vercel 公告

许可

仅供内部使用。不得分发。