Herramienta de detección por lotes CVE-2025-55182

Herramienta eficiente de detección por lotes para la vulnerabilidad de contaminación de prototipos (CVE-2025-55182) de Next.js.

Introducción a la vulnerabilidad

CVE-2025-55182 es una vulnerabilidad de contaminación de prototipos en el framework Next.js. Un atacante puede explotar la contaminación de prototipos mediante solicitudes maliciosas para ejecutar código arbitrario. Esta vulnerabilidad afecta a las aplicaciones que utilizan Next.js Server Actions.

Características

• ✅ Detección por lotes - Admite la importación por lotes de activos para la detección de vulnerabilidades
• ✅ Concurrencia multihilo - Permite personalizar el número de hilos para una detección concurrente eficiente
• ✅ Visualización de progreso - Barra de progreso en tiempo real que muestra el avance de la detección y las estadísticas de vulnerabilidades
• ✅ Detección de múltiples rutas - Detecta automáticamente rutas comunes como /, /apps, /signin
• ✅ Soporte de activos JSON - Admite la lectura de archivos de activos en formato JSON
• ✅ Exportación de resultados - Los resultados de la detección se exportan automáticamente a un archivo
• ✅ Ejecución independiente - Se puede empaquetar como un ejecutable independiente, sin necesidad de un entorno Python

Requisitos del entorno

• Python 3.8+
• Windows / Linux / macOS

Instalación

Opción 1: Ejecutar el script de Python directamente

# Clonar el repositorio
git clone https://github.com/your-username/CVE-2025-55182.git
cd CVE-2025-55182

# Crear el entorno virtual
python -m venv venv

# Activar el entorno virtual
# Windows:
venv\Scripts\activate
# Linux/macOS:
source venv/bin/activate

# Instalar las dependencias
pip install requests tqdm

# Ejecutar
python CVE-2025-55182批量测试脚本.py

Opción 2: Usar el ejecutable empaquetado

Simplemente descargue dist/CVE-2025-55182检测工具.exe y ejecútelo.

Uso

1. Preparar el archivo de activos

Cree una carpeta zc en el mismo directorio del programa y coloque en ella los archivos JSON de activos.

Formato del archivo de activos (un objeto JSON por línea):

{"host":"https://example.com","link":"https://example.com","title":"Example"}
{"host":"https://test.com","link":"https://test.com","title":"Test"}

Campos de activos admitidos:

• link - URL completa (obligatorio)
• host - Nombre del host
• title - Título del sitio web
• ip - Dirección IP
• port - Puerto

2. Ejecutar el programa

python CVE-2025-55182批量测试脚本.py

O ejecute directamente el ejecutable empaquetado:

CVE-2025-55182检测工具.exe

3. Seleccionar el archivo de activos

Al iniciar, el programa mostrará todos los archivos JSON del directorio zc:

============================================================
🔍 CVE-2025-55182 Herramienta de detección por lotes
============================================================

============================================================
📁 Lista de archivos de activos disponibles:
============================================================
  [1] asset1.json (128.5 KB)
  [2] asset2.json (256.3 KB)
============================================================

Seleccione el índice del archivo de activos (ingrese q para salir): 1

4. Configurar el número de hilos

Número de hilos predeterminado actual: 10
Ingrese el número de hilos (presione Enter para usar el valor predeterminado): 20
✅ Número de hilos configurado en: 20

5. Ver los resultados de la detección

Progreso de detección: 100%|████████████████████████| 1000/1000 [05:30<00:00, 3.03/s] vulns=5

✅ ¡Detección completada! Tiempo total: 330.5 s
📊 Total analizado: 1000 | Vulnerabilidades encontradas: 5
📄 Resultados de vulnerabilidades exportados a: D:\work\vuln.txt

Principio de detección

1. Construir una solicitud multipart/form-data que contenga el payload de contaminación de prototipos
2. Enviar solicitudes POST al objetivo en múltiples rutas comunes
3. Comprobar si el encabezado de la respuesta contiene un indicador de ejecución de comandos
4. Si está presente, se determina que existe la vulnerabilidad

Archivos de salida

Los resultados de la detección se guardan en el archivo vuln.txt ubicado en el mismo directorio del programa, con una URL vulnerable por línea:

https://vulnerable-site1.com/
https://vulnerable-site2.com/apps
https://vulnerable-site3.com/signin

Parámetros de configuración

Los siguientes parámetros se pueden modificar en el script:

Descargo de responsabilidad

Esta herramienta es únicamente para investigación de seguridad y pruebas autorizadas. El uso de esta herramienta para realizar pruebas no autorizadas constituye una actividad ilegal; el usuario asume toda la responsabilidad legal correspondiente. El autor no se hace responsable de ningún uso indebido.

Licencia

MIT License

Referencias

• Detalles de la vulnerabilidad CVE-2025-55182
• Aviso de seguridad de Next.js