ماسح الثغرة الأمنية CVE-2025-55182 لتطبيقات React

نص برمجي بلغة bash لفحص خادمك بحثًا عن تطبيقات React المعرضة للثغرة الأمنية CVE-2025-55182 — وهي ثغرة حرجة لتنفيذ التعليمات البرمجية عن بُعد (CVSS 10.0) في React Server Components.

⚠️ حول الثغرة الأمنية

في 3 ديسمبر 2025، كشف فريق React عن ثغرة أمنية حرجة تؤثر على React Server Components. يمكن لمهاجم غير مصادَق استغلال خلل في الطريقة التي يفكّ بها React ترميز الحمولات (payloads) المرسلة إلى نقاط نهاية React Server Function لتحقيق تنفيذ تعليمات برمجية عن بُعد.

الحزم المتأثرة:

• react-server-dom-webpack الإصدارات 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-parcel الإصدارات 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-turbopack الإصدارات 19.0.0, 19.1.0, 19.1.1, 19.2.0

الإصدارات المُصححة: 19.0.1, 19.1.2, 19.2.1

📖 منشور مدونة React الرسمي

🚀 بدء سريع

التثبيت والتشغيل بسطر واحد

curl -sSL https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh | sudo bash

التثبيت اليدوي

# Download
curl -O https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh

# Make executable
chmod +x scan-react-vuln.sh

# Run with sudo for full system scan
sudo ./scan-react-vuln.sh

التثبيت على مستوى النظام

sudo curl -o /usr/local/bin/scan-react-vuln https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh
sudo chmod +x /usr/local/bin/scan-react-vuln

# Now run from anywhere
sudo scan-react-vuln

📋 ماذا يفحص؟

يفحص البرنامج النصي المواقع التالية بحثًا عن تطبيقات React:

الاستثناءات (لتقليل النتائج الإيجابية الخاطئة)

• أدلة node_modules/
• أدلة .cache/ و.npm/ و.pnpm/
• أدلة WordPress (wp-content/, wp-includes/, plugins/, themes/)

🎨 المخرجات

يوفر الماسح مخرجات مرمّزة بالألوان:

• 🔴 [VULNERABLE] - التطبيق يحتوي على حزم RSC معرضة للثغرة مثبتة
• 🟢 [SAFE] - التطبيق يحتوي على React لكن لا توجد حزم معرضة للثغرة
• 🟡 [UPDATE RECOMMENDED] - إصدار React الذي قد يكون متأثرًا

مثال على المخرجات

============================================================
  React CVE-2025-55182 Vulnerability Scanner
  Critical: Remote Code Execution (CVSS 10.0)
============================================================

Scanning for React applications...

Scanning: /home/deploy (owner: deploy)
[VULNERABLE] my-nextjs-app
  Path: /home/deploy/my-nextjs-app
  Owner: deploy
    - [email protected] (VULNERABLE)
    - [email protected] (UPDATE RECOMMENDED)

[SAFE] my-react-spa
  Path: /home/deploy/my-react-spa
  Owner: deploy
    - [email protected]

============================================================
  SCAN COMPLETE
============================================================

🔧 المتطلبات

• Bash 4.0+ (للمصفوفات الترابطية)
• Linux/macOS (يستخدم find وgrep وsed)
• اختياري: jq لتحليل JSON بشكل أكثر موثوقية

تحقق من إصدار bash لديك:

bash --version

🛠️ إصلاح الثغرات الأمنية

إذا وجد الماسح تطبيقات معرضة للثغرة، فحدّثها فورًا:

تطبيقات React العامة

npm install react@latest react-dom@latest
npm install react-server-dom-webpack@latest

Next.js

npm install [email protected]   # or latest in your release line

React Router (مع RSC)

npm install react@latest react-dom@latest react-server-dom-parcel@latest

Waku

npm install react@latest react-dom@latest react-server-dom-webpack@latest waku@latest

🔒 ملاحظات أمنية

• شغّله مع sudo لفحص جميع أدلة المستخدمين
• البرنامج النصي للقراءة فقط ولا يعدّل أي ملفات
• رمز الخروج 0 = لم يتم العثور على أي ثغرات
• رمز الخروج 1 = تم اكتشاف ثغرات (مفيد لـ CI/CD)

📄 الترخيص

ترخيص MIT - مجاني للاستخدام والتعديل والتوزيع.

🤝 المساهمة

طلبات السحب (Pull Requests) مرحّب بها! يرجى التأكد من أن أي تغييرات:

1. لا تُدخل نتائج إيجابية خاطئة
2. تحافظ على التوافق مع الإصدارات السابقة
3. تعمل دون تثبيت jq

📚 المراجع

• CVE-2025-55182
• استشارة أمان React
• سجل تغييرات Next.js

صُنع بحب ❤️ لمجتمع React. ابقَ آمنًا! 🛡️