Atacante → POST HTTP elaborado → Endpoint RSC → Deserialización → RCE

┌─────────────────────────────────────────────────────────────────┐
│                     TUBERÍA DE DETECCIÓN                        │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  1. Detección de Framework                                      │
│     ├── Cabeceras HTTP (X-Powered-By: Next.js)                 │
│     ├── Código fuente de página (__NEXT_DATA__, artefactos react)│
│     └── Manifiestos de compilación                              │
│                                                                 │
│  2. Huella Digital de Versión                                   │
│     ├── Cadenas de versión incrustadas en bundles JS            │
│     ├── Patrones de versión de paquetes                         │
│     └── Análisis de manifiesto de compilación                   │
│                                                                 │
│  3. Descubrimiento de Endpoints RSC                             │
│     ├── Enviar cabeceras RSC (RSC: 1, Accept: text/x-component)│
│     ├── Analizar Content-Type de respuesta                      │
│     └── Detectar marcadores del protocolo Flight en respuesta  │
│                                                                 │
│  4. Sondeo de Server Actions                                    │
│     ├── Solicitud POST con carga útil Flight mínima            │
│     ├── Verificar procesamiento de deserialización              │
│     └── Identificar endpoints de acción                         │
│                                                                 │
│  5. Evaluación de Vulnerabilidad                                │
│     ├── Correlacionar versión con rangos vulnerables conocidos │
│     ├── Ponderar presencia de endpoint RSC                      │
│     └── Generar veredicto con nivel de confianza               │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

0:["$","div",null,{"children":"Hello"}]
1:["$","$L1",null,{}]
2:{"name":"ServerComponent"}

# Clonar o descargar los archivos del escáner
# Instalar dependencias
pip install -r requirements.txt

# Verificar instalación
python3 cve-2025-55182-scanner.py --help

# Objetivo único
python3 cve-2025-55182-scanner.py -t https://example.com

# Con salida detallada
python3 cve-2025-55182-scanner.py -t https://example.com -v

# Crear archivo de objetivos (una URL por línea)
echo "https://app1.example.com" > targets.txt
echo "https://app2.example.com" >> targets.txt

# Escanear todos los objetivos
python3 cve-2025-55182-scanner.py -f targets.txt -o results.json

python3 cve-2025-55182-scanner.py -t https://example.com \
    --timeout 15 \
    --threads 10 \
    --user-agent "SecurityAudit/1.0" \
    -v \
    -o scan_results.json

python3 rsc_analyzer.py https://example.com 2>/dev/null

======================================================================
Target: https://app.example.com
Status: VULNERABLE
Framework: Next.js
Version: 19.1.0
RSC Endpoints: /, /_next/data

Evidence:
  - X-Powered-By header: Next.js
  - React version detected: 19.1.0
  - RSC Flight response at / (Content-Type: text/x-component)
  - Flight protocol markers detected at /

Recommendations:
  → CRITICAL: Immediate patching required!
  → Upgrade React to 19.0.1, 19.1.2, or 19.2.1
  → Upgrade Next.js to latest patched version (15.0.5+, 16.0.7)
  → Enable WAF rules to block malicious RSC payloads
  → Monitor for anomalous POST requests to RSC endpoints
======================================================================

{
  "target": "https://app.example.com",
  "status": "VULNERABLE",
  "framework": "Next.js",
  "version": "19.1.0",
  "rsc_endpoints": ["/", "/_next/data"],
  "evidence": [
    "X-Powered-By header: Next.js",
    "React version detected: 19.1.0",
    "RSC Flight response at / (Content-Type: text/x-component)"
  ],
  "recommendations": [
    "CRITICAL: Immediate patching required!",
    "Upgrade React to 19.0.1, 19.1.2, or 19.2.1"
  ]
}

# Escanear todos los activos de la empresa por lotes
cat domains.txt | while read domain; do
    python3 cve-2025-55182-scanner.py -t "$domain" -o "results_${domain//\//_}.json"
done

# Agregar resultados
jq -s '[.[] | select(.status == "VULNERABLE" or .status == "LIKELY_VULNERABLE")]' results_*.json > critical_findings.json

# Ejemplo de GitHub Actions
- name: CVE-2025-55182 Check
  run: |
    python3 cve-2025-55182-scanner.py -t ${{ env.APP_URL }} -o results.json
    if grep -q '"status": "VULNERABLE"' results.json; then
      echo "::error::¡Vulnerabilidad crítica detectada!"
      exit 1
    fi