Next.js CVE-2025-29927 Schwachstellen-Scanner

Überblick

Dieses Skript durchsucht eine Liste von URLs, um festzustellen, ob sie Next.js verwenden, und ermittelt, ob sie anfällig für CVE-2025-29927 sind. Optional versucht es eine Ausnutzung mittels einer Wortliste.

Funktionen

• Identifiziert Websites, die Next.js verwenden.
• Überprüft die Next.js-Version, um die Schwachstelle zu ermitteln.
• Versucht, anfällige Seiten auszunutzen (Test).
• Unterstützt benutzerdefinierten Chromium-Pfad für Puppeteer.
• Erlaubt URL-Eingabe aus einer Datei oder über Befehlszeilenargumente.
• Folgt Weiterleitungen (optional, kann zu Fehlalarmen führen).
• Gibt Ergebnisse als JSON-Objekt oder in eine Datei aus.

Installation

# Clone the repository
git clone https://github.com/ferpalma21/Automated-Next.js-Security-Scanner-for-CVE-2025-29927.git
cd Automated-Next.js-Security-Scanner-for-CVE-2025-29927.git

# Install dependencies
npm install

Verwendung

Führen Sie das Skript mit verschiedenen Optionen aus:

node index.js -u "https://example.com" -v

Befehlszeilenargumente

Beispiele für die Verwendung

Einzelne Website scannen

node index.js -u "https://example.com"

Mehrere Websites scannen

node index.js -u "https://site1.com, https://site2.com"

Websites aus einer Datei scannen

node index.js -f urls.txt

Ergebnisse in einer Datei speichern

node index.js -u "https://example.com" -o results.txt

Im ausführlichen Modus ausführen

node index.js -u "https://example.com" -v

Ausnutzung versuchen (mit Vorsicht!)

node index.js -u "https://example.com" -a -w wordlist.txt

Ausgabe

• Ausführlicher Modus (-v): Detaillierte Protokolle werden auf der Konsole ausgegeben.
• JSON-Ausgabe: Wenn -v nicht gesetzt ist, werden die Ergebnisse als JSON ausgegeben.
• Datei-Ausgabe (-o): Speichert erkannte Schwachstellen in einer Datei.

Beispielausgabe (Ausführlicher Modus)

Analyzing: https://example.com
https://example.com is running Next.js version: 13.5.9.
Potentially vulnerable to CVE-2025-29927.

Hinweise

• Nutzung auf eigene Gefahr. Stellen Sie sicher, dass Sie die Erlaubnis zum Scannen von Websites haben.
• Legen Sie den korrekten Chromium-Pfad fest, wenn Puppeteer nicht startet.

Behebung

Aktualisieren Sie auf Next.js 14.2.25 oder 15.2.3 oder höher. Falls ein Upgrade nicht möglich ist, blockieren Sie den x-middleware-subrequest-Header auf WAF- oder Serverebene. Gepatchte Versionen: 15.2.3, 14.2.25, 13.5.9, 12.3.5

Nächste Schritte

• Fehlerbehandlung und Wiederholungslogik
• E-Mails von der Website abrufen und eine automatische E-Mail an die Betreiber der Website senden

Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert.