CVE-2025-55182 - React RSC RCE

针对 React Server Components Flight 协议反序列化漏洞的 PoC。

这是什么？

Next.js 14+ 和 React 19 使用私有协议（"Flight"）在客户端和服务器之间通信。问题在于：服务器不加验证地加载任何模块。于是我们可以让它执行 child_process，boom，RCE。

用法

python CVE-2025-55182.py -t <IP> -p <PORT> --cmd "id"

受影响版本

• Next.js < 14.2.21
• Next.js < 15.1.2
• React < 19.2.1

修复

更新你的依赖。就这些。

免责声明

仅用于你拥有的系统或获得书面授权的情况。如果你做蠢事我不负责。