Audit React2Shell (CVE-2025-55182)

React2Shell Audit est un script Bash léger et récursif conçu pour détecter les installations locales de Next.js et React Server DOM vulnérables à CVE-2025-55182 (React2Shell) et CVE-2025-66478.

🚨 La vulnérabilité

React2Shell est une vulnérabilité critique d'exécution de code à distance (RCE) dans les composants serveur React (RSC). Elle permet à des attaquants non authentifiés d'exécuter du code arbitraire sur le serveur via le protocole RSC "Flight".

Cet outil aide les développeurs et les ingénieurs en sécurité à auditer instantanément leur environnement de développement local ou leurs pipelines CI/CD pour s'assurer que leurs dépendances sont corrigées.

🚀 Fonctionnalités

• Analyse récursive : Trouve automatiquement tous les projets dans un monorepo (ignore node_modules pour garantir la rapidité).
• Inspection approfondie de la version : vérifie la version réellement installée dans node_modules plutôt que les plages vagues dans package.json.
• Logique sensible aux branches : différencie correctement les lignes de version (par exemple, il sait que 19.0.1 est sûr pour la branche 19.0, tandis que 19.1.0 est vulnérable).
• Détection des versions canary de Next.js : Signale les builds dangereuses de Next.js 14.x Canary qui ont introduit la vulnérabilité.
• Zéro dépendance : Fonctionne sur Bash standard sans nécessiter de paquets npm externes (support optionnel de jq pour une meilleure précision).

🔍 Comment fonctionne la détection

• Ce script implémente la logique de détection basée sur l'avis officiel. Il utilise une stratégie de "correspondance matricielle" plutôt qu'une simple comparaison de versions pour tenir compte des lignes de publication parallèles.
• Analyse contextuelle : Il parcourt chaque sous-projet de votre dépôt.
• Correspondance de branche : Il identifie la branche de version "mineure" que vous utilisez (par exemple, 19.0.x vs 19.2.x).
• Vérification des correctifs : Il vérifie si la version de correctif installée répond à l'exigence spécifique pour cette branche.

🛠️ Installation et utilisation

Cloner et exécuter

git clone https://github.com/hamm0nz/react2shell-audit.git
cd react2shell-audit
chmod +x scan.sh
./scan.sh

📸 Exemple de sortie

Starting Recursive Scan for React2Shell...
---------------------------------------------------
Checking: ./apps/legacy-dashboard
  react-server-dom-webpack: [VULNERABLE] 19.1.0 (Update to >= 19.1.2)
  next:                     [VULNERABLE] 15.1.3 (Update to >= 15.1.9)
---------------------------------------------------
Checking: ./apps/marketing-site
  next:                     [SAFE] 15.1.9
---------------------------------------------------
Scan Complete.

⚠️ Avertissement

Cet outil est destiné à des fins éducatives et d'audit. Référez-vous toujours aux avis officiels de Vercel et Meta pour obtenir les informations les plus récentes sur les correctifs. Les auteurs ne sont pas responsables des vulnérabilités non détectées.