仅限会员阅读
React2Shell：震撼Web社区的漏洞利用
Code Coup 跟随 3分钟阅读·2天前
64
收听
分享
过去一周，一个神秘的攻击载荷让全球工程师和安全团队彻夜难眠。
它的名字？React2Shell——一种针对React服务器组件和Next.js应用程序的危险而优雅的漏洞利用。
该漏洞编号为CVE-2025-55182，严重性评分为10/10，意味着它能够实现完整远程代码执行（RCE）。简单来说，攻击者可以在你的服务器上运行任意JavaScript代码——窃取机密、调用API，甚至执行Shell命令。
我们来分析一下发生了什么、它是如何运作的，以及我们能从中吸取哪些教训。
按回车或点击查看完整图片
背景：为何这种攻击成为可能
要理解这次攻击，你只需要知道两个事实：
1. JavaScript 具有极强的动态性
- 类型在运行时可以变化
- 代码可以动态求值其他代码（eval、new Function）
- 如果对象包含
.then方法，它可以伪装成 Promise
这对开发者来说很有趣——但对攻击者来说是一条高速公路。
2. React Flight 流在网络上传输内部数据
Flight 是为 React服务器组件（RSC） 提供支持的协议。 CSD0tFqvECLokhw9aBeRqkwakniCjGUCNWbOxkpz3gx7vcsbSTUFV7j/C716+dujufUTXllZUyH3D4HehNIXgIsVoIHidUHbNh0Gb/kShAa5CiVjm1zYFZ1TjA/p9srK
