Script de verificación de vulnerabilidad React2Shell (verify_react_vulnerability.py)

¿Qué es este script?

Este es un script Python simple e independiente creado para ayudarte a determinar rápidamente si tu proyecto se ve afectado por la vulnerabilidad crítica React2Shell (también conocida como CVE-2025-55182).

Realiza una verificación de dos niveles:

1. Verificación de dependencias: Inspecciona tu archivo package.json en busca de versiones vulnerables conocidas de React y Next.js.
2. Escaneo integral del código base (opcional): Si la verificación de dependencias pasa, ofrece realizar un escaneo profundo de tu código fuente. Este escaneo busca una amplia gama de indicios de que tu proyecto está utilizando el conjunto de características vulnerables de React Server Components.

¿Qué hace?

1. Encuentra package.json: Busca el archivo package.json en el directorio donde se ejecuta.
2. Lee las dependencias: Encuentra las versiones exactas de react y next listadas en tu proyecto.
3. Compara versiones: Compara tus versiones instaladas con una lista interna de versiones conocidas como vulnerables.
4. Proporciona una solución: Si se encuentra una dependencia vulnerable, el script proporciona el comando exacto npm install para actualizar a una versión segura.
5. Ofrece un escaneo profundo integral: Si tus dependencias parecen seguras, pide permiso para ejecutar un análisis mucho más profundo de tu código. Este escaneo busca múltiples patrones, incluyendo:
   • "use server"
   • "use client"
   • createSafeActionClient
   • registerServerReference
   • react-server-dom-webpack
6. Informa hallazgos detallados: Si el escaneo profundo encuentra alguno de los patrones, proporciona un informe detallado explicando qué significa cada patrón y enumera los archivos donde se encontraron.

Cómo usarlo

Requisitos previos

1. Python 3: Necesitas tener Python 3 instalado. Puedes verificarlo ejecutando python3 --version.
2. Librería Packaging: El script utiliza una librería común de Python para comparar versiones de software. Si no la tienes, instálala con pip:
   root@kitploit:~

   pip install packaging
   

Ejecutando el Script

1. Asegúrate de que el script verify_react_vulnerability.py esté en el directorio raíz de tu proyecto (el mismo directorio que tu package.json).

2. Abre tu terminal y ejecuta el comando:

   root@kitploit:~

   python3 verify_react_vulnerability.py
   

Entendiendo la salida

Escenario 1: Dependencia vulnerable encontrada

Si se encuentra una versión de librería vulnerable, el script se detiene e informa el problema de inmediato:

--- Step 1: Checking versions in package.json ---
❌ VULNERABLE: Found React version 19.0.1.
...
-------------------------------------------------

❌ SUMMARY: Your project is VULNERABLE based on dependency versions.
   Please update the following dependencies immediately.

--- Recommended Fixes ---
npm install [email protected] [email protected]
...
-------------------------------------------------

Escenario 2: Sin dependencias vulnerables (con escaneo de código integral)

Si tus dependencias son seguras, el script ofrecerá el escaneo profundo.

--- Step 1: Checking versions in package.json ---
✅ OK: Found React version 18.3.1. Not in a known vulnerable range.
...
-------------------------------------------------

✅ INFO: Your project's dependencies do not seem to be affected by React2Shell.
   However, vulnerable features might be in use if code was copy-pasted or 'vendored'.
   Do you want to perform a comprehensive deep code scan? (y/n): y

Si el escaneo profundo encuentra indicadores, proporcionará un informe detallado:

--- Step 2: Performing Comprehensive Deep Code Scan ---
Searching for patterns related to React Server Components...

⚠️ WARNING: Deep scan found indicators of React Server Component usage.
   This does not guarantee a vulnerability, but warrants a manual review.
   Ensure your framework versions are fully patched.

   - Found pattern '"use server"':
     Reason: Indicates a file contains React Server Actions, the primary feature associated with the vulnerability.
     In files: ['src/actions/auth.ts']

   - Found pattern '"use client"':
     Reason: Indicates a Client Component, which may import and use Server Actions from other files.
     In files: ['src/components/LoginButton.tsx', 'src/components/ThemeSwitcher.tsx']
-------------------------------------------------

Si el escaneo profundo no encuentra nada, confirmará que tu proyecto probablemente está seguro:

--- Step 2: Performing Comprehensive Deep Code Scan ---
Searching for patterns related to React Server Components...

✅ OK: The comprehensive deep scan did not find any indicators of RSC usage.
-------------------------------------------------