CVE-2025-55182 // REACT SERVER COMPONENTS RCE

[ 概述 ] CVE-2025-55182 的漏洞利用 PoC。针对 React Server Components 中不安全版本及输入验证函数漏洞。

[ 技术机制 ]

• 攻击向量：在 hydration 期间通过 $1:proto:then 进行原型污染。
• 载荷 ：通过 process.mainModule.require('child_process') 实现 RCE。
• 外带 ：通过 X-Action-Redirect 头泄漏数据。

[ 环境要求 ]

• python3
• requests

[ 策略 ]

• standard ：直接执行 child_process。
• obfuscated ：针对基础 WAF 模式匹配的十六进制编码绕过特性。

[ 免责声明 ] 仅供授权的安全研究与教育目的使用。

[ 用法 ]

基础检查

python3 exploit.py -t -c "id"

尝试绕过 WAF

python3 exploit.py -t -c "cat /etc/passwd (RCE Command)" -s obfuscated