أداة الفحص الجماعي CVE-2025-55182

أداة فحص جماعي فعّالة لثغرة تلوّث النماذج الأولية (Prototype Pollution) في Next.js (CVE-2025-55182).

نبذة عن الثغرة

CVE-2025-55182 هي ثغرة تلوّث النماذج الأولية في إطار عمل Next.js، حيث يمكن للمهاجم استغلال تلوّث النماذج الأولية لتنفيذ تعليمات برمجية عشوائية عبر إرسال طلب خبيث. تؤثر هذه الثغرة على التطبيقات التي تستخدم Next.js Server Actions.

الميزات

• ✅ فحص جماعي - دعم استيراد الأصول بكميات كبيرة لفحص الثغرات
• ✅ تنفيذ متعدد الخيوط - عدد خيوط قابل للتخصيص لفحص متزامن فعّال
• ✅ عرض التقدم - شريط تقدم لحظي يعرض حالة الفحص وإحصاءات الثغرات
• ✅ فحص مسارات متعددة - اكتشاف تلقائي للمسارات الشائعة مثل /, /apps, /signin
• ✅ دعم أصول JSON - دعم قراءة ملفات الأصول بصيغة JSON
• ✅ تصدير النتائج - تصدير نتائج الفحص تلقائيًا إلى ملف
• ✅ تشغيل مستقل - يمكن حزمها كملف exe للتشغيل المستقل دون الحاجة إلى بيئة Python

المتطلبات

• Python 3.8+
• Windows / Linux / macOS

التثبيت

الطريقة الأولى: تشغيل سكربت Python مباشرة

# استنساخ المستودع
git clone https://github.com/your-username/CVE-2025-55182.git
cd CVE-2025-55182

# إنشاء بيئة افتراضية
python -m venv venv

# تفعيل البيئة الافتراضية
# Windows:
venv\Scripts\activate
# Linux/macOS:
source venv/bin/activate

# تثبيت التبعيات
pip install requests tqdm

# التشغيل
python CVE-2025-55182批量测试脚本.py

الطريقة الثانية: استخدام ملف exe المجهّز

قم بتنزيل dist/CVE-2025-55182检测工具.exe وتشغيله مباشرة.

طريقة الاستخدام

1. تجهيز ملف الأصول

أنشئ مجلد zc في نفس مسار البرنامج وضع ملفات الأصول بصيغة JSON فيه.

صيغة ملف الأصول (كل سطر عبارة عن كائن JSON):

{"host":"https://example.com","link":"https://example.com","title":"Example"}
{"host":"https://test.com","link":"https://test.com","title":"Test"}

حقول الأصول المدعومة:

• link - الرابط الكامل (مطلوب)
• host - اسم المضيف
• title - عنوان الموقع
• ip - عنوان IP
• port - المنفذ

2. تشغيل البرنامج

python CVE-2025-55182批量测试脚本.py

أو قم بتشغيل ملف exe المجهّز مباشرة:

CVE-2025-55182检测工具.exe

3. اختيار ملف الأصول

بعد تشغيل البرنامج سيتم عرض جميع ملفات JSON الموجودة في مجلد zc:

============================================================
🔍 أداة الفحص الجماعي لثغرة CVE-2025-55182
============================================================

============================================================
📁 قائمة ملفات الأصول المتاحة:
============================================================
  [1] asset1.json (128.5 KB)
  [2] asset2.json (256.3 KB)
============================================================

الرجاء اختيار رقم ملف الأصول (أدخل q للخروج): 1

4. ضبط عدد الخيوط

عدد الخيوط الافتراضي الحالي: 10
الرجاء إدخال عدد الخيوط (اضغط Enter مباشرة لاستخدام القيمة الافتراضية): 20
✅ تم تعيين عدد الخيوط على: 20

5. عرض نتائج الفحص

تقدم الفحص: 100%|████████████████████████| 1000/1000 [05:30<00:00, 3.03个/s] 漏洞=5

✅ اكتمل الفحص! إجمالي الوقت المستغرق: 330.5 ثانية
📊 إجمالي الفحص: 1000 | الثغرات المكتشفة: 5
📄 تم تصدير نتائج الثغرات إلى: D:\work\vuln.txt

مبدأ الفحص

1. إنشاء طلب multipart/form-data يحتوي على حمولة تلوّث النماذج الأولية
2. إرسال طلب POST إلى الهدف عبر عدة مسارات شائعة
3. فحص ما إذا كانت رؤوس الاستجابة تحتوي على مؤشر تنفيذ الأوامر
4. إذا وُجد المؤشر، يتم اعتبار الثغرة موجودة

ملف الإخراج

يتم حفظ نتائج الفحص في ملف vuln.txt داخل نفس مسار البرنامج، بحيث يحتوي كل سطر على رابط واحد مصاب بالثغرة:

https://vulnerable-site1.com/
https://vulnerable-site2.com/apps
https://vulnerable-site3.com/signin

معاملات الإعداد

يمكن تعديل المعاملات التالية داخل السكربت:

إخلاء المسؤولية

هذه الأداة مخصصة للبحث الأمني والاختبارات المصرّح بها فقط. يُعد استخدام هذه الأداة في اختبارات غير مصرّح بها عملًا غير قانوني، ويتحمل المستخدم كامل المسؤولية القانونية. لا يتحمل المؤلف أي مسؤولية عن أي استخدام مسيء.

الترخيص

MIT License

المراجع

• تفاصيل ثغرة CVE-2025-55182
• نشرة أمان Next.js