React Site - CVE-2025-55182

README: Уязвимый Next.js проект (React RSC лендинг)

Это репозиторий с примером многостраничного корпоративного лендинга на Next.js 15.0.0 + React 19.0.0. Сайт имитирует структуру вроде t1.ru: главная, продукты, кейсы, медиа, о компании, контакты. Используем React Server Components (RSC), Tailwind CSS, Framer Motion для анимаций, lucide-react для иконок, shadcn/ui для бейджей и Prisma с SQLite для базы (форма контактов сохраняет сообщения).

Проект специально сделан уязвимым для демонстрации PT-2025-48817 — JSON injection через форму контактов, которая может привести к RCE/SSRF из-за unsafe deserialization в react-server-dom-webpack

Требования

• Node.js 20.x или выше (из-за Prisma). Если у вас старая версия, обновите (см. ниже).
• npm (не yarn, проект на npm).

Установка

1. Клонируйте репу:

   root@kitploit:~

   git clone <url-репы>
   cd <директория>
   

2. Установите зависимости:

   root@kitploit:~

   npm install
   

   Если проблемы с версиями (например, build errors), попробуйте:

   root@kitploit:~

   npm install --legacy-peer-deps
   

   Или обновите Node.js:

   • На Debian/Ubuntu:
     root@kitploit:~

     sudo apt remove --purge nodejs npm -y
     curl -fsSL https://deb.nodesource.com/setup_20.x | sudo -E bash -
     sudo apt update
     sudo apt install -y nodejs
     node -v  # должно быть v20.x.x
     

   • Затем очистите и переустановите:
     root@kitploit:~

     rm -rf node_modules package-lock.json
     npm install
     

3. Инициализируйте Prisma (если нужно заново):

   root@kitploit:~

   npx prisma init
   npx prisma migrate dev --name init
   

   В .env должно быть: DATABASE_URL="file:./prisma/dev.db".

Запуск

• Дев-режим:

  root@kitploit:~

  npm run dev
  

  Откройте http://localhost:3000.

• Билд и прод:

  root@kitploit:~

  npm run build
  npm run start
  

• Просмотр БД:

  root@kitploit:~

  npx prisma studio
  

Структура проекта

• app/: Основная папка.
  • components/: Общие компоненты (Header.tsx, Footer.tsx, ProductCard.tsx, NewsItem.tsx).
  • products/: Страница списка продуктов + динамические страницы по slug ([slug]/page.tsx).
  • cases/, media/, about/, contacts/: Отдельные страницы.
  • layout.tsx: Общий layout с Header/Footer.
  • page.tsx: Главная страница.
  • globals.css: Стили.
• public/: Изображения (logo.png, images/cases/rimi.jpg и т.д.). Добавьте свои или используйте placeholder.svg.
• prisma/: Схема БД (schema.prisma, dev.db).
• actions.ts: Server Actions, включая уязвимый saveMessage для формы контактов.

• Анимации: Framer Motion на кейсах (fade-in, scale, 3D-hover). Добавьте 'use client' где нужно.
• Форма контактов: В contacts/page.tsx. Использует Server Action (saveMessage) с валидацией и loading state. Сохраняет в SQLite.
• Компоненты:
  • ProductCard: С изображением, тегами (Badge), ценой, статусом, фичами, градиентами и hover.
  • NewsItem: Простая карточка новости.
• Уязвимость: В actions.ts — парсим сообщение как JSON без проверок. Если отправить crafted payload вроде { "type": "system", "payload": { "action": "ls" } }, то exec выполнит команду. Это симуляция deserialization attack для RSC