CVE-2025-55182 Outil de détection en masse

Outil de détection efficace de la vulnérabilité de pollution de prototype Next.js (CVE-2025-55182).

Présentation de la vulnérabilité

CVE-2025-55182 est une vulnérabilité de pollution de prototype dans le framework Next.js, permettant à un attaquant d’exécuter du code arbitraire en construisant une requête malveillante exploitant cette pollution. La vulnérabilité affecte les applications utilisant Next.js Server Actions.

Fonctionnalités

• ✅ Détection en masse – Importation d’actifs en masse pour détection de la vulnérabilité
• ✅ Multithreading – Nombre de threads personnalisable pour une détection concurrente efficace
• ✅ Affichage de la progression – Barre de progression en temps réel montrant l’avancement et les statistiques de vulnérabilités
• ✅ Détection multi‑chemins – Détection automatique des chemins courants /, /apps, /signin
• ✅ Support JSON – Lecture de fichiers d’actifs au format JSON
• ✅ Export des résultats – Export automatique des résultats dans un fichier
• ✅ Exécution autonome – Support de l’empaquetage en exe pour exécution sans environnement Python

Environnement requis

• Python 3.8+
• Windows / Linux / macOS

Installation

Méthode 1 : Exécution directe du script Python

# Cloner le dépôt
git clone https://github.com/your-username/CVE-2025-55182.git
cd CVE-2025-55182

# Créer un environnement virtuel
python -m venv venv

# Activer l’environnement virtuel
# Windows :
venv\Scripts\activate
# Linux/macOS :
source venv/bin/activate

# Installer les dépendances
pip install requests tqdm

# Exécuter
python CVE-2025-55182批量测试脚本.py

Méthode 2 : Utilisation de l’exe pré‑empaqueté

Téléchargez et exécutez directement dist/CVE-2025-55182检测工具.exe.

Utilisation

1. Préparer le fichier d’actifs

Créez un dossier zc dans le même répertoire que le programme, puis placez les fichiers JSON d’actifs dans ce dossier.

Format du fichier d’actifs (un objet JSON par ligne) :

{"host":"https://example.com","link":"https://example.com","title":"Example"}
{"host":"https://test.com","link":"https://test.com","title":"Test"}

Champs d’actifs pris en charge :

• link – URL complète (obligatoire)
• host – Nom d’hôte
• title – Titre du site
• ip – Adresse IP
• port – Port

2. Lancer le programme

python CVE-2025-55182批量测试脚本.py

Ou exécutez directement l’exe empaqueté :

CVE-2025-55182检测工具.exe

3. Sélectionner le fichier d’actifs

Une fois le programme démarré, la liste de tous les fichiers JSON dans le dossier zc s’affiche :

============================================================
🔍 CVE-2025-55182 Outil de détection en masse des vulnérabilités
============================================================

============================================================
📁 Liste des fichiers d’actifs disponibles :
============================================================
  [1] asset1.json (128.5 KB)
  [2] asset2.json (256.3 KB)
============================================================

Veuillez sélectionner le numéro du fichier d’actifs (tapez q pour quitter) : 1

4. Définir le nombre de threads

Nombre de threads par défaut actuel : 10
Veuillez entrer le nombre de threads (appuyez sur Entrée pour utiliser la valeur par défaut) : 20
✅ Nombre de threads défini sur : 20

5. Consulter les résultats

Progression : 100%|████████████████████████| 1000/1000 [05:30<00:00, 3.03/s] vulnérabilités=5

✅ Détection terminée ! Temps total : 330.5 s
📊 Total détecté : 1000 | Vulnérabilités trouvées : 5
📄 Résultats des vulnérabilités exportés vers : D:\work\vuln.txt

Principe de détection

1. Construction d’une requête multipart/form-data contenant une charge utile de pollution de prototype
2. Envoi d’une requête POST vers plusieurs chemins courants de la cible
3. Vérification de la présence d’un indicateur d’exécution de commande dans les en‑têtes de réponse
4. Si présent, la vulnérabilité est considérée comme existante

Fichier de sortie

Les résultats sont sauvegardés dans le fichier vuln.txt situé dans le même répertoire que le programme, chaque ligne contenant une URL vulnérable :

https://vulnerable-site1.com/
https://vulnerable-site2.com/apps
https://vulnerable-site3.com/signin

Paramètres de configuration

Les paramètres suivants peuvent être modifiés dans le script :

Avertissement

Cet outil est destiné uniquement à la recherche en sécurité et aux tests autorisés. Toute utilisation de cet outil pour des tests non autorisés est illégale. L’utilisateur assume l’entière responsabilité légale. L’auteur décline toute responsabilité en cas d’utilisation abusive.

Licence

Licence MIT

Références

• Détails de la vulnérabilité CVE-2025-55182
• Avis de sécurité Next.js