一、漏洞信息

CVE-2025-55182 是 React Server Components (RSC) 架构中一个关键的预认证远程代码执行 (Pre-Auth RCE) 漏洞，影响了包括 react-server-dom-webpack 在内的多个 RSC 相关包的 19.x 版本。该漏洞的根本原因在于 RSC 暴露的 Server Function endpoints 在处理传入的 HTTP 请求负载时，进行了不安全的非序列化 (Insecure Deserialization)。攻击者无需任何权限，即可利用这一缺陷，通过构造恶意的请求体，在运行 RSC 服务的服务器上执行任意系统命令，从而完全控制目标应用程序及其底层系统。

二、应用指纹

app="Next.js" && body="/_next/static/chunks/app/"

三、利用细节

发包选择一个有效的路径，然后修改execSync(‘id’)中的命令，在响应包中查看响应头：x-action-redirect: /login?a=<base64>中的base64数据，进行解码即可获取命令执行回显。

四、POC文件