CVE-2025-55182 的原始 PoC

随着公开的 PoC 开始流传，并且 Google 的扫描器 使用了我在最初提交的 PoC 基础上改写的一个变体，现在终于到了可以负责任地分享我为 React2Shell 编写的原始 PoC 的时候了。

此仓库包含 3 个 PoC：

• 00-very-first-rce-poc - 我成功为 RCE 开发的第一个 PoC。仅直接适用于使用 Webpack 的 Next.js 站点的开发构建。
• 01-submitted-poc.js（主要版本）- 我提交给 Meta 的确切 PoC，更简单且有效
• 02-meow-rce-poc - 该 PoC 已被哈希，并由 Sylvie 作为证明发布，发布于 11 月 29 日，即首次向 Meta 披露前不久

TL;DR

许多其他人已经解释过他们的 PoC，但这里是我非常简短的说明：

• $@x 让你能够访问一个 Chunk
• 我们将它的 then 植入到我们自己的对象上
• JS 运行时自动展开嵌套的 promise（实际上，任何带有 .then 函数的对象）
• 此时我们重新进入解析器，但控制着一个恶意的伪造 Chunk 对象
• 当这种情况发生时，在 _response 上植入东西让我们能访问_大量_的 gadget
• （此处插入若干选项）
• RCE

PoC 中的一些差异

你可能会注意到我的 PoC 在 then 中有些有趣的操作。这是我用来将多个 chunk "串联"在一起的一个不错的原语，其中 resolve 被传递给 Array.map，让我可以"跳转"到 $0 中定义的另一个 chunk。

目前流传的公开重建 PoC 并没有这样做，因为只进行单次跳转时没有必要。很高兴看到重建的 PoC 在其他方面确实使用了与我的相同的 _formData gadget——不过 00- 那个 PoC 可谓是一趟狂野之旅，如果你敢试着读它的话 :)

完整 Writeup

即将推出。