React2Shell Tribune — 易受攻击的 Web 应用靶场

一个以新闻/博客门户为主题的现代 Next.js Web 应用，用于学习、检测并安全地演练 CVE-2025-55182（React）和 CVE-2025-66478（Next.js）对应的 React2Shell。运行未修补的 React 19.0.0 和 Next.js 15.0.3。

概述

• 基于 Next.js App Router 和 Server Actions 构建的虚构新闻门户。
• 默认配置，无自定义危险代码，刻意保持未修补状态。
• 旨在研究 RSC “Flight” 协议中的不安全反序列化，并练习检测/缓解。

快速开始（推荐使用 Docker）

# 1. Start the lab
docker-compose up -d

# 2. Open the app
http://localhost:3000

# 3. Stop when done
docker-compose down

手动安装与开发模式

类生产环境的手动运行方式：

npm install --legacy-peer-deps
npm run build
npm start
# Visit http://localhost:3000

带热重载的开发模式：

npm install --legacy-peer-deps
npm run dev

注意事项：

• 由于刻意锁定版本，请始终使用 --legacy-peer-deps。
• 如果 3000 端口被占用，请修改 docker-compose.yml 中的端口映射（例如 3001:3000），或在启动前设置 PORT 环境变量。

快速运行状态

• 容器：hi-react2shell-tribune
• 端口：3000（预期 HTTP 200 OK）
• 存在漏洞的版本：React 19.0.0、Next.js 15.0.3

常用命令：

docker-compose ps
docker-compose logs -f hi-react2shell-tribune
docker-compose restart
docker-compose build --no-cache && docker-compose up -d

漏洞摘要（React2Shell）

• CVE-2025-55182（React）和 CVE-2025-66478（Next.js）可通过 RSC 中的不安全反序列化实现未认证的远程代码执行（RCE）。

相关受影响版本：

• React：19.0.0、19.1.0、19.1.1、19.2.0
• Next.js：>=14.3.0-canary.77、所有 15.x、未修补的 16.x

实际利用现状

• 目前没有针对默认应用的公开已知 RCE 漏洞利用；react2shell.com 表示“敬请期待”。
• 手动暴露 child_process、vm 或 fs 的 PoC 并不具有代表性。

参考资料

• Vercel/Next.js 安全公告：https://github.com/vercel/next.js/security/advisories/GHSA-9qr9-h5gf-34mp
• React2Shell 信息中心：https://react2shell.com/
• Wiz 分析博客：https://www.wiz.io/blog/critical-vulnerability-in-react-cve-2025-55182

许可证

本项目采用 Apache License 2.0 许可证。详见 LICENSE。

致谢

• 主要贡献者： @sakibulalikhan
• 由 HiddenInvestigations.Net 用 ❤️ 构建

📬 联系我们：[email protected]