نص التحقق من ثغرة React2Shell (verify_react_vulnerability.py)

ما هذا النص؟

هذا نص بايثون بسيط ومستقل أُنشئ لمساعدتك في تحديد ما إذا كان مشروعك متأثرًا بثغرة React2Shell الحرجة (المعروفة أيضًا بـ CVE-2025-55182).

يقوم بإجراء فحص من مستويين:

1. فحص التبعيات: يفحص ملف package.json الخاص بك لمعرفة الإصدارات المعرضة للخطر من React و Next.js.
2. فحص قاعدة الشيفرة الشامل (اختياري): إذا اجتاز فحص التبعيات، فإنه يعرض إجراء فحص عميق لشفرة المصدر الخاصة بك. يبحث هذا الفحص عن مجموعة واسعة من الدلائل على أن مشروعك يستخدم مجموعة ميزات مكونات خادم React المعرضة للخطر.

ماذا يفعل؟

1. إيجاد package.json: يبحث عن ملف package.json في المجلد الذي يتم تشغيل النص فيه.
2. قراءة التبعيات: يجد الإصدارات الدقيقة لكل من react و next المدرجة في مشروعك.
3. مقارنة الإصدارات: يقارن الإصدارات المثبتة لديك بقائمة داخلية من الإصدارات المعروفة بأنها معرضة للخطر.
4. تقديم إصلاح: إذا تم العثور على تبعية معرضة للخطر، يوفر النص الأمر الدقيق npm install للتحديث إلى إصدار آمن.
5. عرض فحص عميق شامل: إذا بدت تبعياتك آمنة، فإنه يطلب الإذن لتشغيل تحليل أعمق بكثير لشفرة المصدر الخاصة بك. يبحث هذا الفحص عن أنماط متعددة، بما في ذلك:
   • "use server"
   • "use client"
   • createSafeActionClient
   • registerServerReference
   • react-server-dom-webpack
6. الإبلاغ عن النتائج التفصيلية: إذا وجد الفحص العميق أيًا من الأنماط، فإنه يوفر تقريرًا مفصلاً يشرح معنى كل نمط ويسرد الملفات التي تم العثور عليها فيها.

كيفية الاستخدام

المتطلبات الأساسية

1. Python 3: يجب أن يكون Python 3 مثبتًا لديك. يمكنك التحقق من ذلك عن طريق تشغيل python3 --version.
2. مكتبة التغليف: يستخدم النص مكتبة بايثون شائعة لمقارنة إصدارات البرامج. إذا لم تكن مثبتة لديك، فقم بتثبيتها باستخدام pip:
   root@kitploit:~

   pip install packaging
   

تشغيل النص

1. تأكد من أن النص verify_react_vulnerability.py موجود في المجلد الجذر لمشروعك (نفس المجلد الذي يحتوي على package.json).

2. افتح الطرفية (terminal) وقم بتشغيل الأمر:

   root@kitploit:~

   python3 verify_react_vulnerability.py
   

فهم المخرجات

السيناريو 1: العثور على تبعية معرضة للخطر

إذا تم العثور على إصدار مكتبة معرض للخطر، يتوقف النص ويبلغ عن المشكلة فورًا:

--- خطوة 1: التحقق من الإصدارات في package.json ---
❌ معرض للخطر: تم العثور على إصدار React 19.0.1.
...
-------------------------------------------------

❌ الملخص: مشروعك معرض للخطر بناءً على إصدارات التبعيات.
   يرجى تحديث التبعيات التالية فورًا.

--- الإصلاحات الموصى بها ---
npm install [email protected] [email protected]
...
-------------------------------------------------

السيناريو 2: لا توجد تبعيات معرضة للخطر (مع فحص شامل للقاعدة البرمجية)

إذا كانت تبعياتك آمنة، فإن النص يعرض إجراء الفحص العميق.

--- خطوة 1: التحقق من الإصدارات في package.json ---
✅ حسنًا: تم العثور على إصدار React 18.3.1. ليس ضمن نطاق معرض للخطر معروف.
...
-------------------------------------------------

✅ معلومات: لا يبدو أن تبعيات مشروعك متأثرة بـ React2Shell.
   ومع ذلك، قد تكون الميزات المعرضة للخطر قيد الاستخدام إذا تم نسخ الشيفرة أو تخزينها (vendored).
   هل تريد إجراء فحص عميق شامل للقاعدة البرمجية؟ (y/n): y

إذا وجد الفحص العميق مؤشرات، فإنه سيوفر تقريرًا مفصلاً:

--- خطوة 2: إجراء فحص عميق شامل للقاعدة البرمجية ---
جارٍ البحث عن الأنماط المتعلقة بمكونات خادم React...

⚠️ تحذير: وجد الفحص العميق مؤشرات على استخدام مكونات خادم React.
   هذا لا يضمن وجود ثغرة، ولكنه يستدعي مراجعة يدوية.
   تأكد من أن إصدارات إطار العمل الخاص بك محدثة بالكامل.

   - تم العثور على النمط '"use server"':
     السبب: يشير إلى أن الملف يحتوي على إجراءات خادم React، وهي الميزة الأساسية المرتبطة بالثغرة.
     في الملفات: ['src/actions/auth.ts']

   - تم العثور على النمط '"use client"':
     السبب: يشير إلى مكوّن عميل، والذي قد يستورد ويستخدم إجراءات الخادم من ملفات أخرى.
     في الملفات: ['src/components/LoginButton.tsx', 'src/components/ThemeSwitcher.tsx']
-------------------------------------------------

إذا لم يجد الفحص العميق شيئًا، فإنه سوف يؤكد أن مشروعك آمن على الأرجح:

--- خطوة 2: إجراء فحص عميق شامل للقاعدة البرمجية ---
جارٍ البحث عن الأنماط المتعلقة بمكونات خادم React...

✅ حسنًا: لم يجد الفحص العميق الشامل أي مؤشرات على استخدام مكونات الخادم React (RSC).
-------------------------------------------------