CVE-2025-55182 (React2Shell) PoC——带 WAF 绕过

一个针对 CVE-2025-55182（又名 React2Shell）的简洁、可靠的 Python 概念验证（PoC）漏洞利用程序，该漏洞是 Next.js（App Router）及类似框架所使用的 React Server Components 中的一个严重远程代码执行漏洞。

该 PoC 包含动态 WAF 绕过填充，可规避那些限制对大型 multipart 请求体进行深度检测的常见 Web 应用防火墙（Cloudflare、AWS WAF 等）。

漏洞概述

• CVE：CVE-2025-55182
• CVSS：10.0（严重）
• 影响范围：Next.js 15.x–16.0.6、React 19.0.0–19.2.0（启用了 Server Components）
• 影响：未经身份验证即可在服务器上执行任意命令

环境要求

• Python 3.6+
• requests 库

pip install requests

使用方法

基本 RCE

python poc.py https://vulnerable-target.com "id"

带 WAF 绕过（256 KB 填充）

python poc.py https://vulnerable-target.com "whoami" 256

参数

• url：目标 URL（通常为根路径 / 或 /formaction）
• command：要在服务器上执行的命令
• padding_kb（可选）：垃圾填充大小（以 KB 为单位，默认：128）。若被 WAF 拦截，请增大该值。

示例输出

[*] Sending payload to https://vulnerable-target.com with 256KB padding...
[*] Command: id
[+] RCE Successful! Output:

uid=1000(node) gid=1000(node) groups=1000(node),4(adm),27(sudo)

负责任披露

本工具仅用于经授权的安全测试与研究。

• 仅可用于您拥有或已获得明确测试许可的目标。
• 未经授权，请勿对生产系统使用。
• 请通过漏洞赏金计划或直接联系厂商，负责任地报告发现的问题。

缓解措施

• 升级至 Next.js ≥ 16.0.7 或 React ≥ 19.2.1
• 部署更新的 WAF 规则（例如 AWS KnownBadInputsRuleSet v1.24+、Cloudflare 托管规则集）
• 禁用未使用的 Server Actions / RSC 端点

参考链接

• CVE 详情：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-55182
• 原始公告：（React/Next.js 安全公告）
• 相关 PoC：https://github.com/msanft/CVE-2025-55182