Les frameworks JavaScript côté serveur peuvent révéler un contexte distinct de post-exploitation lorsqu'une application vulnérable commence à exécuter des commandes du système d'exploitation. La source définit une recherche d'audit Linux pour React Server Components, Next.js et des scénarios RCE similaires par désérialisation côté serveur.
La couverture inclut CVE-2025-55182 et des vulnérabilités similaires de désérialisation web non authentifiée.
Requête de détection comportementale
La recherche cible les commandes exécutées depuis des répertoires liés à Node.js, Next.js, React ou au code applicatif.
rule.groups:audit and data.audit.cwd:(*node_modules* or */next* or */react* or */app*) and data.audit.command:(sh or bash or dash or curl or wget or nc or ncat or python or python3 or whoami or id or uname or cat or chmod)
La liste de commandes comprend :
shells ;
utilitaires de téléchargement ;
variantes de Netcat ;
Python;
découverte de l'identité et du système ;
modifications des permissions de fichiers.
La source a enregistré zéro correspondance au cours des 30 derniers jours.
Requête d'exposition aux vulnérabilités
La source inclut également une vérification directe de l'index des vulnérabilités :
vulnerability.id:"CVE-2025-55182"
Cette requête a également renvoyé zéro résultat.
Pourquoi les deux requêtes sont utiles
La requête sur l'index des vulnérabilités indique si un paquet ou un hôte surveillé est associé à la CVE concernée.
La requête comportementale répond à une autre question : un contexte applicatif pertinent a-t-il exécuté des commandes pouvant indiquer une exploitation ?
Utiliser les deux permet d'éviter de se fier uniquement à l'inventaire des vulnérabilités ou uniquement au comportement.
Processus d'investigation
Si la requête comportementale renvoie une correspondance, examinez :
répertoire de travail actuel ;
exécutable ;
utilisateur effectif ;
processus parent ;
journaux d'application ;
requêtes HTTP à peu près au même moment ;
connexions réseau ;
fichiers créés ou modifiés.
Une commande telle que whoami suivie de curl ou d’un shell depuis un répertoire d’application Next.js mérite une investigation plus approfondie.
Réglage
Établissez une base de référence de l'activité légitime de déploiement et de build des applications. Les environnements Node.js peuvent légitimement exécuter des commandes shell lors des processus d'installation ou de build.
Les hôtes d'exécution de production devraient généralement avoir un profil de commandes attendu plus restreint que les systèmes de développement ou de CI.
Valeur opérationnelle
La source n'a enregistré aucune correspondance, ni pour l'exposition ni pour le comportement, mais la détection reste utile car elle combine le contexte applicatif et l'exécution de commandes.
Pour les applications React et Next.js hébergées sous Linux, ce contexte peut aider à identifier le passage de l'exploitation de l'application côté serveur à une activité au niveau du système d'exploitation.
