CVE-2025-55182 Batch-Erkennungstool

Effizientes Batch-Erkennungstool für die Next.js Prototype-Pollution-Schwachstelle (CVE-2025-55182).

Schwachstellenübersicht

CVE-2025-55182 ist eine Prototype-Pollution-Schwachstelle im Next.js-Framework, bei der Angreifer durch das Erstellen bösartiger Anfragen die Prototype-Verschmutzung ausnutzen können, um beliebigen Code auszuführen. Die Schwachstelle betrifft Anwendungen, die Next.js Server Actions verwenden.

Funktionen

• ✅ Batch-Prüfung - Unterstützt den Massenimport von Assets zur Schwachstellenerkennung
• ✅ Multi-Threading - Anpassbare Thread-Anzahl für effiziente parallele Prüfung
• ✅ Fortschrittsanzeige - Echtzeit-Fortschrittsbalken mit Prüffortschritt und Schwachstellenstatistik
• ✅ Multi-Pfad-Prüfung - Automatische Erkennung häufiger Pfade wie /, /apps, /signin
• ✅ JSON-Asset-Unterstützung - Unterstützt das Einlesen von Asset-Dateien im JSON-Format
• ✅ Ergebnisexport - Prüfergebnisse werden automatisch in eine Datei exportiert
• ✅ Eigenständiger Betrieb - Kann als eigenständige EXE ohne Python-Umgebung ausgeführt werden

Systemanforderungen

• Python 3.8+
• Windows / Linux / macOS

Installation

Methode 1: Python-Skript direkt ausführen

# 克隆仓库
git clone https://github.com/your-username/CVE-2025-55182.git
cd CVE-2025-55182

# 创建虚拟环境
python -m venv venv

# 激活虚拟环境
# Windows:
venv\Scripts\activate
# Linux/macOS:
source venv/bin/activate

# 安装依赖
pip install requests tqdm

# 运行
python CVE-2025-55182批量测试脚本.py

Methode 2: Verwendung der gepackten EXE

Laden Sie einfach dist/CVE-2025-55182检测工具.exe herunter und führen Sie es aus.

Verwendung

1. Asset-Datei vorbereiten

Erstellen Sie im selben Verzeichnis wie das Programm einen Ordner namens zc und legen Sie die Asset-JSON-Dateien darin ab.

Asset-Dateiformat (ein JSON-Objekt pro Zeile):

{"host":"https://example.com","link":"https://example.com","title":"Example"}
{"host":"https://test.com","link":"https://test.com","title":"Test"}

Unterstützte Asset-Felder:

• link - Vollständige URL (erforderlich)
• host - Hostname
• title - Website-Titel
• ip - IP-Adresse
• port - Port

2. Programm ausführen

python CVE-2025-55182批量测试脚本.py

Oder führen Sie die gepackte EXE direkt aus:

CVE-2025-55182检测工具.exe

3. Asset-Datei auswählen

Nach dem Start listet das Programm alle JSON-Dateien im zc-Verzeichnis auf:

============================================================
🔍 CVE-2025-55182 漏洞批量检测工具
============================================================

============================================================
📁 可用资产文件列表：
============================================================
  [1] asset1.json (128.5 KB)
  [2] asset2.json (256.3 KB)
============================================================

请选择资产文件序号 (输入 q 退出): 1

4. Thread-Anzahl festlegen

当前默认线程数: 10
请输入线程数 (直接回车使用默认值): 20
✅ 线程数设置为: 20

5. Prüfergebnisse anzeigen

检测进度: 100%|████████████████████████| 1000/1000 [05:30<00:00, 3.03个/s] 漏洞=5

✅ 检测完成！ 总耗时：330.5 秒
📊 检测总数: 1000 | 发现漏洞: 5
📄 漏洞结果已导出到：D:\work\vuln.txt

Erkennungsprinzip

1. Konstruieren einer multipart/form-data-Anfrage, die einen Prototype-Pollution-Payload enthält
2. Senden einer POST-Anfrage an mehrere häufige Pfade des Ziels
3. Prüfen, ob der Antwortheader eine Kennung für die Befehlsausführung enthält
4. Falls vorhanden, wird die Schwachstelle als vorhanden eingestuft

Ausgabedatei

Die Prüfergebnisse werden in der Datei vuln.txt im selben Verzeichnis wie das Programm gespeichert, eine verwundbare URL pro Zeile:

https://vulnerable-site1.com/
https://vulnerable-site2.com/apps
https://vulnerable-site3.com/signin

Konfigurationsparameter

Folgende Parameter können im Skript geändert werden:

Haftungsausschluss

Dieses Tool dient nur zur Sicherheitsforschung und autorisierten Tests. Die unbefugte Verwendung dieses Tools zu Testzwecken ist illegal. Der Benutzer trägt die alleinige rechtliche Verantwortung. Der Autor übernimmt keine Haftung für Missbrauch.

Lizenz

MIT-Lizenz

Referenzen

• CVE-2025-55182 Schwachstellendetails
• Next.js Security Advisory