CVE-2025-55182 利用工具与靶场公开
先了解这件事
React Server Components 的 CVE-2025-55182 被公开为 CVSS 10.0 的免认证远程代码执行漏洞，向 /rsc 端点发送带 cmd 字段的 JSON 即可执行命令。Niane Mohamed 的利用链分析称，成因是 React Flight 协议反序列化器中的原型污染，可影响 Next.js 应用；受影响 React 版本为 19.0.0 至 19.2.0，修复版本为 19.3.0+，Next.js 修复版本为 15.0.5、15.1.9、15.2.6、16.0.7+。 公开工具已从单个 PoC 扩展为多种形态：Least-Significant-Bit 的 PoC 脚本经 HTTP-POST 在远程目标模拟 shell，支持 HTTP 与 HTTPS 但不校验证书，目录切换仅支持绝对路径，运行前需安装 requests；另有 Python 3 编写、依赖 requests 与 tqdm 的扫描器，其说明称采用时序/报错侧信道检测而非直接尝试 RCE，并可添加垃圾数据绕过 WAF 内容检查。 新收录的 GitHub 仓库 alexandre-briongos-wavestone/react-cve-2025-55182-lab 提供 Docker 靶场搭建步骤与一条完整 curl 利用请求。
AI 根据报道生成 · 4 小时前更新
事件进展
2 个进展
- 10月22日 10:22 · 4 篇报道公开CVE-2025-55182 RSC RCE完整利用链分析Sploitus 利用聚合：React2Shell PoC 公开：React Server Components CVE-2025-55182 免认证 RCE 利用工具
- 10月22日 07:01 · 1 篇报道公开CVE-2025-55182 PoC利用脚本Sploitus 利用聚合：CVE-2025-55182 的 PoC 利用脚本公开，可在远程目标上模拟 shell
报道时间线
沿着报道，了解事件的不同侧面。
- Sploitus 利用聚合精选React Server Components RCE 漏洞 CVE-2025-55182 扫描器公开
GitHub 仓库公开了针对 React Server Components（RSC）远程代码执行漏洞 CVE-2025-55182 的扫描器，基于 Python 3 编写，依赖 requests 与 tqdm。
- Sploitus 利用聚合精选React CVE-2025-55182 靶场与利用请求公开
Sploitus 收录了 GitHub 仓库 alexandre-briongos-wavestone/react-cve-2025-55182-lab，提供 React CVE-2025-55182 的 Docker 靶场搭建步骤与一条完整 curl 利用请求。
- Sploitus 利用聚合精选React2Shell PoC 公开：React Server Components CVE-2025-55182 免认证 RCE 利用工具
作者发布 CVE-2025-55182 的 PoC 工具 react2shell-poc，该漏洞是 React Server Components 中的免认证 RCE，CVSS 评分 10.0，成因是 React Flight 协议反序列化器中的原型污染。
- Sploitus 利用聚合React Server Components CVE-2025-55182 反序列化 RCE 复现分析
作者在隔离实验环境中复现了 React Server Components 的不安全反序列化漏洞 CVE-2025-55182（CVSS 10.0，向量 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H），向 /rsc 端点发送带 cmd 字段的 JSON 即可在无需认证、无需交互的情况下执行命令。
- Sploitus 利用聚合CVE-2025-55182 的 PoC 利用脚本公开，可在远程目标上模拟 shell
GitHub 项目 Least-Significant-Bit 公开了 CVE-2025-55182 的 PoC 利用脚本，成功后可经 HTTP-POST 请求在远程目标上模拟 shell。脚本同时支持 HTTP 与 HTTPS 但不校验证书，目录切换仅支持绝对路径，运行需先安装 requests 依赖。
本事件热度走势
- 可比范围当前
- 8
- 可比范围峰值
- 1010月22日 15:00
- 近 24 小时变化
- –
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。