CVE-2025-55182

易受攻击的应用程序

构建并运行：

docker compose build
docker compose run --rm --entrypoint 'npm install' node
docker compose run --rm --entrypoint 'npm run build' node
docker compose up

POC（来自 https://github.com/msanft/CVE-2025-55182）：

node poc.js

实验（使用 unbundled）：

yarn --immutable

node --conditions react-server app.js

CodeQL

克隆 facebook/react 并创建 unbundled：

yarn --immutable

yarn cross-env RELEASE_CHANNEL=experimental node ./scripts/rollup/build.js react-server-dom-webpack/ --type=NODE_DEV

cp ./build/node_modules/react-server-dom-webpack/cjs/react-server-dom-webpack-server.node.unbundled.development.js \
    codeql/${version}/

准备 CodeQL：

codeql database create db -l javascript -s codeql

cd queries && codeql pack install

codeql query run ./queries/PrototypeTraversal.ql -d db

待办事项

添加一个查询来查找 Promise.resolve(userData)
- 应找出所有返回用户定义对象的异步函数
- 这是代码执行问题的直接位置
添加一个查询来查找 await non-native-promise
- 应找出所有对不返回原生 Promise 的函数的 await
- 调用者可能错误地对（有时）返回原始数据的方法使用了 await

结果

它捕获了 getOutlinedModel 中的已修补用法（添加了 hasOwnProperty.call）和 createModelResolver 中被移除的用法（现为 fulfillReference）。

我不明白为什么第一个和第二个指向同一位置，而 vuln.js 中提取的那个却没有。

示例

在 codeql/tests.js 中有以下三种变体：

var value = {};
for (let i = 0; i < path.length; i++) {
  value = value[path[i]] // VarAccess
}

var value = {};
for (let i = 0; i < path.length; i++) {
  let c = value[path[i]] // VarDecl
  value = c
}

var value = {};
for (let i = 0; i < path.length; i++) {
  let c
  c = value[path[i]] // use VarRef
  value = c
}

参考：https://codeql.github.com/docs/codeql-language-guides/abstract-syntax-tree-classes-for-working-with-javascript-and-typescript-programs/

./19.2.0/react-server-dom-webpack-server.node.unbundled.development.js	parentObject[reference[key]]	parentObject[reference[key]]	不安全的原型遍历：变量 'parentObject' 在循环中被其自身的属性更新。
./19.2.0/react-server-dom-webpack-server.node.unbundled.development.js	parentObject[reference[key]]	parentObject[reference[key]]	不安全的原型遍历：变量 'parentObject' 在循环中被其自身的属性更新。
./19.2.0/react-server-dom-webpack-server.node.unbundled.development.js	value[path[i]]	value[path[i]]	不安全的原型遍历：变量 'value' 在循环中被其自身的属性更新。
./tests.js	value[path[i]]	c	不安全的原型遍历：变量 'value' 在循环中被其自身的属性更新。
./tests.js	value[path[i]]	c	不安全的原型遍历：变量 'value' 在循环中被其自身的属性更新。
./tests.js	value[path[i]]	value[path[i]]	不安全的原型遍历：变量 'value' 在循环中被其自身的属性更新。
./vuln.js	parentObject[reference[key]]	parentObject[reference[key]]	不安全的原型遍历：变量 'parentObject' 在循环中被其自身的属性更新。
./vuln.js	value[path[i]]	value[path[i]]	不安全的原型遍历：变量 'value' 在循环中被其自身的属性更新。

CVE-2025-55182

最受欢迎

CVE-2025-55182

易受攻击的应用程序

CodeQL

待办事项

结果

示例