Escáner de Vulnerabilidad CVE-2025-29927 para Next.js

Resumen

Este script escanea una lista de URLs para detectar si están usando Next.js y determina si son vulnerables a CVE-2025-29927. Opcionalmente, intenta explotarlas usando una lista de palabras.

Características

• Identifica sitios web que usan Next.js.
• Verifica la versión de Next.js para determinar vulnerabilidad.
• Intenta explotar sitios vulnerables (prueba).
• Soporta una ruta personalizada de Chromium para Puppeteer.
• Permite la entrada de URLs desde un archivo o argumentos de línea de comandos.
• Sigue redirecciones (opcional, puede causar falsos positivos).
• Envía los resultados a un objeto JSON o un archivo.

Instalación

# Clonar el repositorio
git clone https://github.com/ferpalma21/Automated-Next.js-Security-Scanner-for-CVE-2025-29927.git
cd Automated-Next.js-Security-Scanner-for-CVE-2025-29927.git

# Instalar dependencias
npm install

Uso

Ejecuta el script con diferentes opciones:

node index.js -u "https://example.com" -v

Argumentos de Línea de Comandos

Ejemplos de Uso

Escanea un solo sitio web

node index.js -u "https://example.com"

Escanea múltiples sitios web

node index.js -u "https://site1.com, https://site2.com"

Escanea sitios web desde un archivo

node index.js -f urls.txt

Guarda los resultados en un archivo

node index.js -u "https://example.com" -o results.txt

Ejecuta en modo detallado

node index.js -u "https://example.com" -v

Intenta explotación (¡usar con precaución!)

node index.js -u "https://example.com" -a -w wordlist.txt

Salida

• Modo Detallado (-v): Registros detallados impresos en la consola.
• Salida JSON: Cuando no se establece -v, los resultados se imprimen como JSON.
• Salida a Archivo (-o): Guarda las vulnerabilidades detectadas en un archivo.

Ejemplo de Salida (Modo Detallado)

Analyzing: https://example.com
https://example.com is running Next.js version: 13.5.9.
Potentially vulnerable to CVE-2025-29927.

Notas

• Úsalo bajo tu propio riesgo. Asegúrate de tener permiso para escanear sitios web.
• Establece la ruta correcta de Chromium si Puppeteer falla al iniciar.

Mitigación

Actualiza a Next.js 14.2.25 o 15.2.3 o posterior. Si no es posible actualizar, bloquea la cabecera x-middleware-subrequest a nivel de WAF o servidor. Versiones parcheadas: 15.2.3, 14.2.25, 13.5.9, 12.3.5

Próximos Pasos

• Manejo de errores y lógica de reintento
• Obtener correos electrónicos del sitio web y enviar un correo automático a los propietarios del sitio

Licencia

Este proyecto está licenciado bajo la Licencia MIT.