Scanner de vulnérabilité React CVE-2025-55182

Un script bash pour analyser votre serveur à la recherche d'applications React vulnérables à CVE-2025-55182 — une vulnérabilité critique d'exécution de code à distance (CVSS 10.0) dans les composants serveur React.

⚠️ À propos de la vulnérabilité

Le 3 décembre 2025, l'équipe React a divulgué une vulnérabilité de sécurité critique affectant les composants serveur React. Un attaquant non authentifié peut exploiter une faille dans la manière dont React décode les charges utiles envoyées aux points de terminaison des fonctions serveur React pour réaliser une exécution de code à distance.

Paquets concernés :

• react-server-dom-webpack versions 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-parcel versions 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-turbopack versions 19.0.0, 19.1.0, 19.1.1, 19.2.0

Versions corrigées : 19.0.1, 19.1.2, 19.2.1

📖 Article officiel du blog React

🚀 Démarrage rapide

Installation et exécution en une ligne

curl -sSL https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh | sudo bash

Installation manuelle

# Download
curl -O https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh

# Make executable
chmod +x scan-react-vuln.sh

# Run with sudo for full system scan
sudo ./scan-react-vuln.sh

Installation à l'échelle du système

sudo curl -o /usr/local/bin/scan-react-vuln https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh
sudo chmod +x /usr/local/bin/scan-react-vuln

# Now run from anywhere
sudo scan-react-vuln

📋 Ce qu'il analyse

Le script analyse les emplacements suivants pour les applications React :

Exclusions (pour réduire les faux positifs)

• Répertoires node_modules/
• Répertoires .cache/, .npm/, .pnpm/
• Répertoires WordPress (wp-content/, wp-includes/, plugins/, themes/)

🎨 Sortie

Le scanner fournit une sortie codée par couleur :

• 🔴 [VULNÉRABLE] - L'application a des paquets RSC vulnérables installés
• 🟢 [SÉCURISÉ] - L'application a React mais aucun paquet vulnérable
• 🟡 [MISE À JOUR RECOMMANDÉE] - Version de React pouvant être affectée

Example Output

============================================================
  React CVE-2025-55182 Vulnerability Scanner
  Critical: Remote Code Execution (CVSS 10.0)
============================================================

Scanning for React applications...

Scanning: /home/deploy (owner: deploy)
[VULNERABLE] my-nextjs-app
  Path: /home/deploy/my-nextjs-app
  Owner: deploy
    - [email protected] (VULNERABLE)
    - [email protected] (UPDATE RECOMMENDED)

[SAFE] my-react-spa
  Path: /home/deploy/my-react-spa
  Owner: deploy
    - [email protected]

============================================================
  SCAN COMPLETE
============================================================

🔧 Prérequis

• Bash 4.0+ (pour les tableaux associatifs)
• Linux/macOS (utilise find, grep, sed)
• Optionnel : jq pour un parsing JSON plus fiable

Vérifiez votre version de bash :

bash --version

🛠️ Correction des vulnérabilités

Si le scanner trouve des applications vulnérables, mettez-les à jour immédiatement :

Applications React générales

npm install react@latest react-dom@latest
npm install react-server-dom-webpack@latest

Next.js

npm install [email protected]   # or latest in your release line

React Router (avec RSC)

npm install react@latest react-dom@latest react-server-dom-parcel@latest

Waku

npm install react@latest react-dom@latest react-server-dom-webpack@latest waku@latest

🔒 Notes de sécurité

• Exécutez avec sudo pour analyser tous les répertoires utilisateurs
• Le script est en lecture seule et ne modifie aucun fichier
• Code de sortie 0 = aucune vulnérabilité trouvée
• Code de sortie 1 = vulnérabilités détectées (utile pour CI/CD)

📄 Licence

Licence MIT - Libre d'utilisation, de modification et de distribution.

🤝 Contribution

Les pull requests sont les bienvenues ! Veuillez vous assurer que toute modification :

1. N'introduit pas de faux positifs
2. Maintient la rétrocompatibilité
3. Fonctionne sans jq installé

📚 Références

• CVE-2025-55182
• Avis de sécurité React
• Journal des modifications Next.js

Fait avec ❤️ pour la communauté React. Restez en sécurité ! 🛡️