CVE-2025-55182 - React2Shell

针对 CVE-2025-55182 的改良与增强型漏洞利用工具，该漏洞是一个在 React Server 19.0、19.1.0、19.1.1 和 19.2.0 版本中存在预认证远程代码执行漏洞。

该漏洞涉及以下组件：

• react-server-dom-webpack
• react-server-dom-parcel
• react-server-dom-turbopack

补丁

通过以下检查修复了使用 chunk 引用来检索原型属性的问题：

@@ -78,7 +80,10 @@ export function preloadModule<T>(
 
 export function requireModule<T>(metadata: ClientReference<T>): T {
   const moduleExports = parcelRequire(metadata[ID]);
-  return moduleExports[metadata[NAME]];
+  if (hasOwnProperty.call(moduleExports, metadata[NAME])) {
+    return moduleExports[metadata[NAME]];
+  }
+  return (undefined: any);
 }

致谢

作者: msanft - https://github.com/msanft/CVE-2025-55182

日期: 2025年05月12日 - 日/月/年

编辑: MikeTheHash

编辑日期: 2025年07月12日 - 日/月/年

免责声明：此内容仅供教育目的

使用风险自负。对于任何滥用、损害或由此产生的法律后果，本人不承担任何责任

相关链接

https://github.com/msanft/CVE-2025-55182/

https://x.com/maple3142

https://nvd.nist.gov/vuln/detail/CVE-2025-55182