Scanner CVE GitHub

🔍 Scannez rapidement les dépôts GitHub pour les vulnérabilités critiques React et Next.js RSC

Vue d'ensemble

Un scanner basé sur le navigateur qui vérifie tous les dépôts GitHub pour les vulnérabilités de sécurité connues dans les composants serveur React :

Aucune installation nécessaire — collez simplement dans la console de votre navigateur.

Démarrage rapide

1. Accédez à n'importe quelle page GitHub (ex. https://github.com/votrenomdutilisateur)
2. Ouvrez les outils de développement (F12 ou Ctrl+Maj+I)
3. Allez dans l'onglet Console
4. Copiez script.js, collez-le, et appuyez sur Entrée

Authentification

Lorsque vous y êtes invité, choisissez votre mode de scan :

Création d'un PAT

1. Rendez-vous sur github.com/settings/tokens/new
2. Nom : CVE Scanner
3. Portée : repo (Contrôle total des dépôts privés)
4. Générez et copiez le jeton

⚠️ Sécurité : Traitez votre PAT comme un mot de passe. Ne le commettez ni ne le partagez jamais.

Référence des vulnérabilités

CVE-2025-55182 (React)

CVE-2025-66478 (Next.js, App Router)

Non concerné : Next.js 13.x, Next.js 14.x stable, applications Pages Router et l'Edge Runtime.

Fonctionnalités

• ✅ Détecte automatiquement le nom d'utilisateur depuis l'URL actuelle
• ✅ PAT optionnel pour l'accès aux dépôts privés
• ✅ Récupération paginée pour les grands comptes
• ✅ Sortie console propre avec tableau récapitulatif
• ✅ Gère les cas limites avec élégance
• ✅ Lecture seule — ne modifie jamais les dépôts

Exemple de sortie

🔍 GitHub CVE Scanner
Checking: CVE-2025-55182 (React RSC) & CVE-2025-66478 (Next.js RSC)

👤 username | Mode: Public + Private

📦 Fetching repositories...
📁 42 repositories found

🔍 Scanning... (click to expand)
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
 RESULTS
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

┌─────────┬─────────────────┬────────┬────────┬───────────┬─────────────┬────────────┬──────────────┬──────────────────────┐
│ (index) │      Repo       │  Next  │ React  │ ReactDOM  │ RSCWebpack  │ RSCParcel  │ RSCTurbopack │       Status         │
├─────────┼─────────────────┼────────┼────────┼───────────┼─────────────┼────────────┼──────────────┼──────────────────────┤
│    0    │ 'my-nextjs-app' │ '14.1' │ '18.2' │  '18.2'   │     '-'     │    '-'     │     '-'      │ '⚠️ CVE-2025-66478'  │
│    1    │ 'react-demo'    │  '-'   │ '19.0' │  '19.0'   │   '19.0'    │    '-'     │     '-'      │ '⚠️ CVE-2025-55182'  │
│    2    │ 'safe-project'  │ '15.2' │ '19.1' │  '19.1'   │     '-'     │    '-'     │     '-'      │      '✅ Safe'       │
└─────────┴─────────────────┴────────┴────────┴───────────┴─────────────┴────────────┴──────────────┴──────────────────────┘

📊 Summary:
   Total repos:       42
   With package.json: 38
   Skipped:           4 (no package.json)

⚠️ 2 vulnerable repo(s) found!

✓ Scan complete.

Pourquoi c'est important

CVE-2025-55182 et CVE-2025-66478 permettent une exécution de code à distance non authentifiée via le protocole "Flight" des Composants Serveur React. Ce sont des vulnérabilités critiques nécessitant une correction immédiate.

Contribuer

Contributions bienvenues ! Idées d'améliorations futures :

• Scan à l'échelle de l'organisation
• Export CSV/JSON
• Version bookmarklet
• Intégration GitHub Actions

Ouvrez une issue ou soumettez une PR.

Licence

MIT