React2Shell भेद्यता सत्यापन स्क्रिप्ट (verify_react_vulnerability.py)

यह स्क्रिप्ट क्या है?

यह एक सरल, स्वतंत्र Python स्क्रिप्ट है जिसे आपकी परियोजना में महत्वपूर्ण React2Shell भेद्यता (जिसे CVE-2025-55182 के नाम से भी जाना जाता है) से प्रभावित होने की तुरंत जाँच करने में मदद के लिए बनाया गया है।

यह दो-स्तरीय जाँच करती है:

1. निर्भरता जाँच: यह React और Next.js के ज्ञात कमजोर संस्करणों के लिए आपकी package.json फ़ाइल का निरीक्षण करती है।
2. व्यापक कोडबेस स्कैन (वैकल्पिक): यदि निर्भरता जाँच पास हो जाती है, तो यह आपके स्रोत कोड की गहन स्कैन करने का विकल्प प्रदान करती है। यह स्कैन इस बात के संकेतों की एक विस्तृत श्रृंखला देखता है कि आपकी परियोजना कमजोर React सर्वर कम्पोनेंट सुविधाओं का उपयोग कर रही है।

यह क्या करता है?

1. package.json ढूँढता है: यह उस निर्देशिका में package.json फ़ाइल ढूँढता है जहाँ इसे चलाया गया है।
2. निर्भरताएँ पढ़ता है: यह आपकी परियोजना में सूचीबद्ध react और next के सटीक संस्करण ढूँढता है।
3. संस्करणों की तुलना करता है: यह आपके स्थापित संस्करणों की तुलना कमजोर माने जाने वाले संस्करणों की अंतर्निहित सूची से करता है।
4. समाधान प्रदान करता है: यदि कोई कमजोर निर्भरता पाई जाती है, तो स्क्रिप्ट सुरक्षित संस्करण में अपडेट करने के लिए सटीक npm install कमांड प्रदान करती है।
5. व्यापक गहन स्कैन का विकल्प देता है: यदि आपकी निर्भरताएँ सुरक्षित दिखती हैं, तो यह आपके कोड का अधिक गहन विश्लेषण चलाने की अनुमति माँगती है। यह स्कैन कई पैटर्न की तलाश करता है, जिनमें शामिल हैं:
   • "use server"
   • "use client"
   • createSafeActionClient
   • registerServerReference
   • react-server-dom-webpack
6. विस्तृत निष्कर्ष रिपोर्ट करता है: यदि गहन स्कैन इनमें से कोई भी पैटर्न पाता है, तो यह एक विस्तृत रिपोर्ट प्रदान करता है जो बताता है कि प्रत्येक पैटर्न का क्या अर्थ है और उन फ़ाइलों की सूची देता है जहाँ वे पाए गए।

इसका उपयोग कैसे करें

पूर्वापेक्षाएँ

1. Python 3: आपके पास Python 3 स्थापित होना चाहिए। आप इसे python3 --version चलाकर जाँच सकते हैं।
2. पैकेजिंग लाइब्रेरी: स्क्रिप्ट सॉफ़्टवेयर संस्करणों की तुलना करने के लिए एक सामान्य Python लाइब्रेरी का उपयोग करती है। यदि आपके पास यह नहीं है, तो इसे pip के साथ स्थापित करें:
   root@kitploit:~

   pip install packaging
   

स्क्रिप्ट चलाना

1. सुनिश्चित करें कि verify_react_vulnerability.py स्क्रिप्ट आपकी परियोजना की मूल निर्देशिका (आपकी package.json के समान निर्देशिका) में है।

2. अपना टर्मिनल खोलें और कमांड चलाएँ:

   root@kitploit:~

   python3 verify_react_vulnerability.py
   

आउटपुट को समझना

परिदृश्य 1: कमजोर निर्भरता मिली

यदि कोई कमजोर लाइब्रेरी संस्करण मिलता है, तो स्क्रिप्ट रुक जाती है और तुरंत समस्या की रिपोर्ट करती है:

--- Step 1: Checking versions in package.json ---
❌ VULNERABLE: Found React version 19.0.1.
...
-------------------------------------------------

❌ SUMMARY: Your project is VULNERABLE based on dependency versions.
   Please update the following dependencies immediately.

--- Recommended Fixes ---
npm install [email protected] [email protected]
...
-------------------------------------------------

परिदृश्य 2: कोई कमजोर निर्भरता नहीं (व्यापक कोड स्कैन के साथ)

यदि आपकी निर्भरताएँ सुरक्षित हैं, तो स्क्रिप्ट गहन स्कैन का विकल्प देगी।

--- Step 1: Checking versions in package.json ---
✅ OK: Found React version 18.3.1. Not in a known vulnerable range.
...
-------------------------------------------------

✅ INFO: Your project's dependencies do not seem to be affected by React2Shell.
   However, vulnerable features might be in use if code was copy-pasted or 'vendored'.
   Do you want to perform a comprehensive deep code scan? (y/n): y

यदि गहन स्कैन को संकेतक मिलते हैं, तो यह एक विस्तृत रिपोर्ट प्रदान करेगा:

--- Step 2: Performing Comprehensive Deep Code Scan ---
Searching for patterns related to React Server Components...

⚠️ WARNING: Deep scan found indicators of React Server Component usage.
   This does not guarantee a vulnerability, but warrants a manual review.
   Ensure your framework versions are fully patched.

   - Found pattern '"use server"':
     Reason: Indicates a file contains React Server Actions, the primary feature associated with the vulnerability.
     In files: ['src/actions/auth.ts']

   - Found pattern '"use client"':
     Reason: Indicates a Client Component, which may import and use Server Actions from other files.
     In files: ['src/components/LoginButton.tsx', 'src/components/ThemeSwitcher.tsx']
-------------------------------------------------

यदि गहन स्कैन को कुछ नहीं मिलता, तो यह पुष्टि करेगा कि आपकी परियोजना संभवतः सुरक्षित है:

--- Step 2: Performing Comprehensive Deep Code Scan ---
Searching for patterns related to React Server Components...

✅ OK: The comprehensive deep scan did not find any indicators of RSC usage.
-------------------------------------------------