Zoomeye Next.js RCE Scanner

Auteur : im-ezboy

Scanner pour RCE Next.js (CVE-2025-55182) utilisant la recherche Zoomeye. Trouve des cibles via des requêtes Zoomeye et les teste avec la charge utile d'exploitation fournie.

Fonctionnalités

• Deux dorks Zoomeye ciblés par défaut :
  • http.header="Vary: RSC, Next-Router-State-Tree"
  • vul.cve="CVE-2025-55182"
• Scan parallèle (20 threads par défaut) avec contrôle du délai d'attente des requêtes.
• Sauvegarde les cibles vulnérables dans vulnerable_zoomeye_*.txt et un rapport JSON détaillé.
• La sortie console met en évidence les cibles vulnérables avec des séparateurs pour la lisibilité.
• Nombre total maximal de résultats spécifié par l'utilisateur (plafonné à 500 000) pour gérer le périmètre.

Prérequis

• Python 3.8+
• Dépendances : requests, tqdm

Installer les dépendances :

pip install requests tqdm

Configuration

Modifier zoomeye.py :

• ZOOMEYE_API_KEY – mettez votre clé API Zoomeye ici (supprimez-la avant de pousser vers des dépôts publics).
• Optionnel : ZOOMEYE_USERNAME, ZOOMEYE_PASSWORD si vous préférez la connexion JWT (laissez vide pour la clé API).
• RESULTS_PER_QUERY (1000 par défaut) et MAX_PAGES (200 par défaut) – contrôles de pagination ; soumis aux limites de votre plan.
• MAX_TOTAL_LIMIT (500 000 par défaut) – limite absolue pour le nombre total de résultats demandés par l'utilisateur.
• SCAN_THREADS (20 par défaut) et REQUEST_TIMEOUT (10s par défaut) – paramètres d'ajustement pour la vitesse de scan vs fiabilité.

Utilisation

python3 zoomeye.py

Vous serez invité à saisir la limite totale de résultats (<= 500000). Appuyez sur Entrée pour utiliser la valeur par défaut (RESULTS_PER_QUERY * 2).

Exemple :

Enter max total results to collect (<= 500000, blank=default 2000):

Sortie

• Console :
  • Séparateurs de sections (============================) pour chaque étape.
  • Si des vulnérabilités sont trouvées, elles sont listées en rouge avec des indices.
• Fichiers :
  • vulnerable_zoomeye_YYYYMMDD_HHMMSS.txt – cibles vulnérables (une par ligne).
  • report_zoomeye_YYYYMMDD_HHMMSS.json – résumé et métadonnées.

Notes pour GitHub

• Supprimez ou remplacez toute clé API réelle avant de commiter.
• Optionnellement, chargez la clé depuis des variables d'environnement au lieu de la coder en dur.
• Ajoutez vulnerable_*.txt et report_*.json à votre .gitignore si vous ne souhaitez pas que les résultats de scan soient commités.

Sécurité & Limites

• Des limites élevées peuvent atteindre les limites de débit ou les plafonds du plan Zoomeye ; ajustez RESULTS_PER_QUERY, MAX_PAGES et la limite totale demandée en conséquence.
• La charge utile d'exploitation est pour CVE-2025-55182 ; utilisez-la de manière responsable et uniquement sur des cibles que vous êtes autorisé à tester.