Escáner de CVE de TanStack Router

Una herramienta de escaneo de seguridad para detectar el CVE de TanStack Router | GHSA de TanStack Router en tus proyectos.

Resumen

Esta herramienta escanea tu código en busca de indicadores de la vulnerabilidad de TanStack Router (CVE-2026-45321 / GHSA-g7cv-rxg3-hmpx), que afecta a versiones específicas de los paquetes de TanStack Router. Detecta:

• archivos router_init.js que pueden contener código malicioso
• dependencias opcionales sospechosas en package.json
• versiones de paquetes vulnerables conocidas
• versiones vulnerables en archivos lock (package-lock.json, pnpm-lock.yaml, yarn.lock)
• entradas relacionadas en los registros de npm

Versiones Vulnerables Conocidas

Las siguientes versiones de paquetes se marcan como vulnerables:

Niveles de Riesgo

• ALTO: Se encontró router_init.js, dependencias opcionales sospechosas o versiones vulnerables en package.json/archivos lock
• MEDIO: Solo se encontraron entradas relacionadas en los registros de npm
• BAJO: No se encontraron indicadores

Instalación

macOS

1. Abre la Terminal
2. Navega al directorio de tu proyecto:
   root@kitploit:~

   cd /path/to/your/project
   

3. Ejecuta el escáner (consulta Uso más abajo)

Windows

1. Abre el Símbolo del sistema o PowerShell
2. Navega al directorio de tu proyecto:
   root@kitploit:~

   cd C:\path\to\your\project
   

3. Ejecuta el escáner (consulta Uso más abajo)

Linux

1. Abre la Terminal
2. Navega al directorio de tu proyecto:
   root@kitploit:~

   cd /path/to/your/project
   

3. Ejecuta el escáner (consulta Uso más abajo)

Uso

Uso Básico

Escanea el directorio actual:

node scan.js

Escanea una carpeta específica:

node scan.js /path/to/your/project

Escanea el directorio home:

node scan.js ~

Guardar Salida en Archivo JSON

macOS / Linux:

node scan.js ~/your-project > scan-result.json

Windows (Command Prompt):

node scan.js C:\Users\YourName\your-project > scan-result.json

Windows (PowerShell):

node scan.js C:\Users\YourName\your-project | Out-File -FilePath scan-result.json

Ejemplos de Flujos de Trabajo

Escanea un solo proyecto:

cd /Users/username/my-react-app
node scan.js . > result.json
cat result.json

Escanea todo el sistema (macOS/Linux):

node scan.js ~ > full-scan.json

Escanea con jq (macOS/Linux) - filtra solo el nivel de riesgo:

node scan.js . | jq -r '.risk'

Formato de Salida

El escáner genera JSON con la siguiente estructura:

{
  "scannedRoot": "/path/to/scanned/directory",
  "risk": "HIGH|MEDIUM|LOW",
  "summary": {
    "routerInit": 0,
    "optionalDeps": 0,
    "badPackageVersions": 0,
    "badLockVersions": 0,
    "npmLogs": 0,
    "errors": 0
  },
  "findings": {
    "routerInit": [],
    "optionalDeps": [],
    "badPackageVersions": [],
    "badLockVersions": [],
    "npmLogs": [],
    "errors": []
  }
}

Directorios Omitidos

El escáner omite automáticamente los siguientes directorios para mejorar el rendimiento:

• .git
• .next
• .nuxt
• .turbo
• .cache
• .DS_Store
• dist
• build
• coverage
• .yarn

Los archivos de más de 5 MB también se omiten.

Qué Hacer si es Vulnerable

Si el escáner reporta riesgo ALTO:

1. Verifica inmediatamente los archivos package.json afectados
2. Actualiza los paquetes vulnerables a las últimas versiones seguras
3. Elimina cualquier archivo router_init.js sospechoso
4. Reinstala las dependencias desde cero:
   root@kitploit:~

   rm -rf node_modules package-lock.json
   npm install
   

5. Revisa tus archivos lock para detectar configuraciones maliciosas
6. Reporta la vulnerabilidad si encontraste evidencia de explotación

Recursos Adicionales

• TanStack Router GitHub
• NVD CVE-2026-45321
• Aviso de Seguridad