Escáner de RCE en Next.js con Zoomeye

Autor: im-ezboy

Escáner para RCE en Next.js (CVE-2025-55182) usando la búsqueda de Zoomeye. Encuentra objetivos mediante consultas de Zoomeye y los prueba con el payload de exploit proporcionado.

Características

• Dos dorks enfocados de Zoomeye por defecto:
  • http.header="Vary: RSC, Next-Router-State-Tree"
  • vul.cve="CVE-2025-55182"
• Escaneo paralelo (20 hilos por defecto) con control de tiempo de espera de solicitud.
• Guarda los objetivos vulnerables en vulnerable_zoomeye_*.txt y un informe JSON detallado.
• La salida de consola resalta los objetivos vulnerables con separadores para facilitar la lectura.
• Resultados totales máximos especificados por el usuario (límite de 500,000) para gestionar el alcance.

Requisitos

• Python 3.8+
• Dependencias: requests, tqdm

Instalar dependencias:

pip install requests tqdm

Configuración

Editar zoomeye.py:

• ZOOMEYE_API_KEY – coloca tu clave API de Zoomeye aquí (quítala antes de subir a repositorios públicos).
• Opcional: ZOOMEYE_USERNAME, ZOOMEYE_PASSWORD si prefieres inicio de sesión JWT (déjalos vacíos para la clave API).
• RESULTS_PER_QUERY (1000 por defecto) y MAX_PAGES (200 por defecto) – controles de paginación; sujetos a los límites de tu plan.
• MAX_TOTAL_LIMIT (500_000 por defecto) – límite máximo para los resultados totales solicitados por el usuario.
• SCAN_THREADS (20 por defecto) y REQUEST_TIMEOUT (10s por defecto) – ajustes para la velocidad de escaneo vs. fiabilidad.

Uso

python3 zoomeye.py

Se te pedirá el límite de resultados totales (<= 500000). Presiona Enter para usar el valor por defecto (RESULTS_PER_QUERY * 2).

Ejemplo:

Enter max total results to collect (<= 500000, blank=default 2000):

Salida

• Consola:
  • Separadores de sección (============================) para cada etapa.
  • Si se encuentran vulnerabilidades, se listan en rojo con índices.
• Archivos:
  • vulnerable_zoomeye_YYYYMMDD_HHMMSS.txt – objetivos vulnerables (uno por línea).
  • report_zoomeye_YYYYMMDD_HHMMSS.json – resumen y metadatos.

Notas para GitHub

• Elimina o reemplaza cualquier clave API real antes de hacer commit.
• Opcionalmente, carga la clave desde variables de entorno en lugar de codificarla.
• Añade vulnerable_*.txt y report_*.json a tu .gitignore si no quieres que se suban los resultados de escaneo.

Seguridad y Límites

• Los límites grandes pueden alcanzar los límites de tasa o los topes del plan de Zoomeye; ajusta RESULTS_PER_QUERY, MAX_PAGES y el límite total solicitado en consecuencia.
• El payload del exploit es para CVE-2025-55182; úsalo de manera responsable y solo en objetivos que tengas permiso para probar.