React2Shell-Schwachstellenüberprüfungsskript (verify_react_vulnerability.py)

Was ist dieses Skript?

Dies ist ein einfaches, eigenständiges Python-Skript, das Ihnen hilft, schnell festzustellen, ob Ihr Projekt von der kritischen React2Shell-Sicherheitslücke (auch bekannt als CVE-2025-55182) betroffen ist.

Es führt eine zweistufige Überprüfung durch:

1. Abhängigkeitsprüfung: Es überprüft Ihre package.json-Datei auf bekannte verwundbare Versionen von React und Next.js.
2. Umfassender Codebase-Scan (optional): Wenn die Abhängigkeitsprüfung bestanden wird, bietet es an, einen tiefgehenden Scan Ihres Quellcodes durchzuführen. Dieser Scan sucht nach einer Vielzahl von Hinweisen, dass Ihr Projekt die verwundbaren React Server Components-Funktionen verwendet.

Was macht es?

1. Findet package.json: Es sucht nach der Datei package.json in dem Verzeichnis, in dem es ausgeführt wird.
2. Liest Abhängigkeiten: Es ermittelt die genauen Versionen von react und next, die in Ihrem Projekt aufgeführt sind.
3. Vergleicht Versionen: Es vergleicht Ihre installierten Versionen mit einer integrierten Liste bekannter verwundbarer Versionen.
4. Bietet eine Lösung: Wenn eine verwundbare Abhängigkeit gefunden wird, gibt das Skript den exakten npm install-Befehl aus, um auf eine sichere Version zu aktualisieren.
5. Bietet einen umfassenden Tiefenscan an: Wenn Ihre Abhängigkeiten sicher erscheinen, fragt es nach Erlaubnis, eine viel tiefere Analyse Ihres Codes durchzuführen. Dieser Scan sucht nach mehreren Mustern, darunter:
   • "use server"
   • "use client"
   • createSafeActionClient
   • registerServerReference
   • react-server-dom-webpack
6. Meldet detaillierte Ergebnisse: Wenn der Tiefenscan eines der Muster findet, gibt er einen detaillierten Bericht aus, der erklärt, was jedes Muster bedeutet, und listet die Dateien auf, in denen sie gefunden wurden.

Wie man es verwendet

Voraussetzungen

1. Python 3: Sie müssen Python 3 installiert haben. Sie können dies überprüfen, indem Sie python3 --version ausführen.
2. Packaging-Bibliothek: Das Skript verwendet eine gängige Python-Bibliothek zum Vergleichen von Softwareversionen. Wenn Sie sie nicht haben, installieren Sie sie mit pip:

   pip install packaging
   

Ausführen des Skripts

1. Stellen Sie sicher, dass sich das Skript verify_react_vulnerability.py im Stammverzeichnis Ihres Projekts befindet (demselben Verzeichnis wie Ihre package.json).

2. Öffnen Sie Ihr Terminal und führen Sie den Befehl aus:

   python3 verify_react_vulnerability.py
   

Die Ausgabe verstehen

Szenario 1: Verwundbare Abhängigkeit gefunden

Wenn eine verwundbare Bibliotheksversion gefunden wird, stoppt das Skript und meldet das Problem sofort:

--- Schritt 1: Überprüfe Versionen in package.json ---
❌ ANFÄLLIG: React Version 19.0.1 gefunden.
...
-------------------------------------------------

❌ ZUSAMMENFASSUNG: Ihr Projekt ist basierend auf den Abhängigkeitsversionen ANFÄLLIG.
   Bitte aktualisieren Sie die folgenden Abhängigkeiten sofort.

--- Empfohlene Behebungen ---
npm install [email protected] [email protected]
...
-------------------------------------------------

Szenario 2: Keine verwundbaren Abhängigkeiten (mit umfassendem Code-Scan)

Wenn Ihre Abhängigkeiten sicher sind, bietet das Skript den Tiefenscan an.

--- Schritt 1: Überprüfe Versionen in package.json ---
✅ OK: React Version 18.3.1 gefunden. Nicht in einem bekannten anfälligen Bereich.
...
-------------------------------------------------

✅ INFO: Die Abhängigkeiten Ihres Projekts scheinen nicht von React2Shell betroffen zu sein.
   Allerdings könnten anfällige Funktionen verwendet werden, wenn Code kopiert oder 'eingekauft' (vendored) wurde.
   Möchten Sie einen umfassenden tiefgehenden Code-Scan durchführen? (y/n): y

Wenn der Tiefenscan Indikatoren findet, gibt er einen detaillierten Bericht aus:

--- Schritt 2: Führe umfassenden tiefgehenden Code-Scan durch ---
Suche nach Mustern im Zusammenhang mit React Server Components...

⚠️ WARNUNG: Der tiefgehende Scan hat Hinweise auf die Verwendung von React Server Components gefunden.
   Dies garantiert keine Verwundbarkeit, rechtfertigt jedoch eine manuelle Überprüfung.
   Stellen Sie sicher, dass Ihre Framework-Versionen vollständig gepatcht sind.

   - Muster '"use server"' gefunden:
     Grund: Zeigt an, dass eine Datei React Server Actions enthält, die primäre Funktion, die mit der Schwachstelle verbunden ist.
     In Dateien: ['src/actions/auth.ts']

   - Muster '"use client"' gefunden:
     Grund: Zeigt ein Client-Komponente an, die möglicherweise Server Actions aus anderen Dateien importiert und verwendet.
     In Dateien: ['src/components/LoginButton.tsx', 'src/components/ThemeSwitcher.tsx']
-------------------------------------------------

Wenn der Tiefenscan nichts findet, bestätigt er, dass Ihr Projekt wahrscheinlich sicher ist:

--- Schritt 2: Führe umfassenden tiefgehenden Code-Scan durch ---
Suche nach Mustern im Zusammenhang mit React Server Components...

✅ OK: Der umfassende tiefgehende Scan hat keine Hinweise auf die Verwendung von RSC gefunden.
-------------------------------------------------