mustafa1p/next.js-rce-scanner---cve-2025-55182-cve-2025-66478**CVE-2025-55182** और **CVE-2025-66478** का पता लगाने के लिए एक उन्नत भेद्यता स्कैनर — Next.js अनुप्रयोगों में React Server Components (RSC) का उपयोग करने वाली महत्वपूर्ण Remote Code Execution (RCE) कमजोरियाँ।
Next.js अनुप्रयोगों में गंभीर RCE भेद्यताओं का पता लगाने के लिए एक शक्तिशाली और उपयोग में आसान स्कैनर
एक उन्नत भेद्यता स्कैनर जो CVE-2025-55182 और CVE-2025-66478 का पता लगाता है - React Server Components (RSC) का उपयोग करने वाले Next.js अनुप्रयोगों में गंभीर रिमोट कोड निष्पादन (RCE) भेद्यताएँ।
यह उन्नत उपकरण Assetnote Security Team के उत्कृष्ट शोध पर आधारित है, जिसमें बेहतर पहचान, उपयोग में आसानी और व्यापक रिपोर्टिंग शामिल है।
test_urls.txt को स्वचालित रूप से ढूंढता हैconfig.json के माध्यम से पेलोड और डिटेक्शन पैटर्न को अनुकूलित करेंये भेद्यताएँ multipart form-data अनुरोधों के अनुचित संचालन के माध्यम से React Server Components का उपयोग करने वाले Next.js अनुप्रयोगों को प्रभावित करती हैं:
शोषण तंत्र: यह भेद्यता सर्वर-साइड पर निष्पादित होने वाले मनमाने JavaScript कोड को इंजेक्ट करने के लिए RSC प्रोटोकॉल के multipart पार्सिंग का शोषण करती है, जिससे हमलावर सिस्टम कमांड चला सकते हैं।
Windows:
setup.bat
Linux/macOS:
chmod +x setup.sh
./setup.sh
git clone https://github.com/yourusername/nextjs-rce-scanner.git
cd nextjs-rce-scanner
python -m venv venv
# Windows
venv\Scripts\activate
# Linux/macOS
source venv/bin/activate
pip install -r requirements.txt
स्कैनिंग शुरू करने का सबसे सरल तरीका:
Windows:
scan.bat
Linux/macOS:
./scan.sh
या सीधे:
python quick_scan.py
क्या होता है:
test_urls.txt का स्वचालित रूप से पता लगाता हैpython quick_scan.py
# When prompted, enter: 1
# Enter URL: https://target.com
समान निर्देशिका में test_urls.txt बनाएं:
https://example1.com
https://example2.com
https://example3.com
स्कैनर चलाएं:
python quick_scan.py
# Auto-detects test_urls.txt and scans all URLs
python nextjs_rce_scanner.py --url https://target.com --payload-type rce
विकल्प:
--url: एकल लक्ष्य URL--file: URL वाली फ़ाइल का पथ (प्रति पंक्ति एक)--payload-type: पेलोड वैरिएंट (rce, safe, waf_bypass, vercel_bypass, custom)--output: रिपोर्ट फ़ाइल पथ--format: रिपोर्ट प्रारूप (json, csv, html)--gui: ग्राफिकल इंटरफ़ेस लॉन्च करें--timeout: सेकंड में अनुरोध टाइमआउट--max-redirects: अनुसरण करने के लिए अधिकतम रिडायरेक्ट--verbose: विस्तृत आउटपुटउदाहरण:
python nextjs_rce_scanner.py --file targets.txt --format html --output scan_results.html --verbose
═══════════════════════════════════════════════════════════
🔍 Next.js RCE Scanner - Triple Layer Detection
═══════════════════════════════════════════════════════════
[*] Auto-detected file: test_urls.txt
[*] Loading URLs from file...
[*] Loaded 5 URLs
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
[1/5] Scanning: https://example.com
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
[✓] RCE Payload Test → Secure
[✓] Safe Payload Test → Secure
[✓] Vercel Bypass Test → Secure
Status: ✅ SECURE (0/3 payloads detected vulnerability)
Response: 405 (Method Not Allowed)
JSON रिपोर्ट:
{
"scan_timestamp": "2025-01-15T10:30:00",
"total_targets": 5,
"vulnerable": 0,
"results": [...]
}
HTML रिपोर्ट: रंग-कोडित परिणामों, स्कैन आँकड़ों और विस्तृत निष्कर्षों के साथ पेशेवर रूप से स्वरूपित रिपोर्ट।
config.json के माध्यम से स्कैनर व्यवहार को अनुकूलित करें:
{
"scanner_settings": {
"timeout": 30,
"max_redirects": 5,
"verify_ssl": false
},
"payloads": {
"rce_commands": {
"unix_test": "echo $((41*271))",
"windows_test": "powershell -c \"41*271\""
}
},
"detection": {
"rce_patterns": [".*/login\\?a=11111.*"],
"safe_error_codes": [500]
},
"rate_limiting": {
"enabled": true,
"requests_per_second": 2
}
}
X-Action-Redirect हेडर का पता लगाता हैnextjs-rce-scanner/
├── nextjs_rce_scanner.py # Main scanner engine (full features)
├── quick_scan.py # Simple interactive wrapper
├── config.json # Configuration file
├── requirements.txt # Python dependencies
├── test_urls.txt # URL list for bulk scanning
├── setup.sh # Linux/Mac installation script
├── setup.bat # Windows installation script
├── scan.sh # Linux/Mac quick launcher
├── scan.bat # Windows quick launcher
├── README.md # This file
└── LICENSE # MIT License
ज्ञात भेद्य वातावरणों के विरुद्ध परीक्षण करें (केवल नैतिक परीक्षण):
python quick_scan.py
संकेत मिलने पर परीक्षण URL दर्ज करें। स्कैनर यह करेगा:
केवल शैक्षिक और अधिकृत परीक्षण के लिए
यह उपकरण सुरक्षा अनुसंधान, भेद्यता मूल्यांकन और अधिकृत पेनेट्रेशन परीक्षण के लिए प्रदान किया गया है। उपयोगकर्ताओं को यह करना होगा:
लेखक इस उपकरण के दुरुपयोग या इससे होने वाली क्षति के लिए कोई दायित्व नहीं लेते हैं।
इस सॉफ़्टवेयर का उपयोग करके, आप इसे कानूनी और जिम्मेदार तरीके से उपयोग करने के लिए सहमत होते हैं।
MIT लाइसेंस - विवरण के लिए LICENSE फ़ाइल देखें
योगदान का स्वागत है! कृपया:
git checkout -b feature/improvement)git commit -am 'Add new feature')git push origin feature/improvement)सुरक्षा मुद्दों या प्रश्नों के लिए:
⭐ यदि यह उपकरण आपके काम आया, तो कृपया इसे एक स्टार देने पर विचार करें! ⭐
सुरक्षा समुदाय के लिए ❤️ से निर्मित