🚨 React2Shell Scanner

React Server Components में CVSS 10.0 RCE। क्या आपका React 19 ऐप असुरक्षित है?

CVE-2025-55182 (React2Shell) के लिए तेज़, सटीक स्कैनर - एक गंभीर रिमोट कोड निष्पादन कमजोरी जिसका वास्तविक दुनिया में शोषण किया जा रहा है। बुद्धिमान Server Components पहचान के साथ शून्य गलत सकारात्मक परिणाम।

🚨 React2Shell (CVE-2025-55182) के बारे में

React2Shell, React Server Components में अधिकतम गंभीरता (10.0 CVSS) वाली एक कमजोरी है जो बिना प्रमाणीकरण के रिमोट कोड निष्पादन की अनुमति देती है। हमलावर Server Function एंडपॉइंट्स पर विशेष रूप से तैयार किए गए HTTP अनुरोधों के माध्यम से इसका शोषण कर सकते हैं।

मुख्य तथ्य:

• प्रभावित: React 19.x, Next.js 14-16.x, react-router, waku, @parcel/rsc, expo
• हमला वेक्टर: नेटवर्क (कोई प्रमाणीकरण आवश्यक नहीं)
• प्रभाव: पूर्ण सर्वर समझौता (RCE)
• प्रकटीकरण: 3 दिसंबर, 2025
• शोषण: डिफ़ॉल्ट कॉन्फ़िगरेशन में लगभग 100% सफलता दर
• संबंधित CVE: CVE-2025-55184 (DoS), CVE-2025-55183 (सोर्स एक्सपोज़र), CVE-2025-67779

⚠️ महत्वपूर्ण नोट: केवल React 19.x असुरक्षित है। React 18.x और उससे पुराने संस्करण प्रभावित नहीं हैं।

⚡ त्वरित आरंभ (30 सेकंड)

# Option A: Node.js scanner (recommended - cross-platform, no dependencies)
npx react2shell-scanner /path/to/your/project

# Option B: Direct download and run
curl -sSL https://raw.githubusercontent.com/nxgn-kd01/react2shell-scanner/main/scan.js > scan.js
node scan.js /path/to/your/project

# Option C: Clone and run
git clone https://github.com/nxgn-kd01/react2shell-scanner.git
cd react2shell-scanner
node scan.js /path/to/your/project

परिणाम सेकंडों में: 🚨 असुरक्षित | ⚠️ चेतावनियाँ | ✅ सुरक्षित

📋 यह स्कैनर क्या जाँचता है

यह टूल बुद्धिमान कमजोरी पहचान करता है:

1. React संस्करण विश्लेषण 🔴 गंभीर

• असुरक्षित React 19.0.0, 19.1.0, 19.1.1, 19.2.0 का पता लगाता है
• पुष्टि करता है कि React 18.x ऐप सुरक्षित हैं (गलत सकारात्मक परिणाम रोकता है)
• react-server-dom-* पैकेजों की पहचान करता है

2. फ्रेमवर्क कॉन्फ़िगरेशन जाँच 🟡 चेतावनी

• Next.js 14.x-canary से 16.x संस्करणों तक स्कैन करता है
• react-router, waku, @parcel/rsc, @vitejs/plugin-rsc, rwsdk, expo का पता लगाता है
• आवश्यकता होने पर React 19 निर्भरता को मान्य करता है
• स्टैटिक एक्सपोर्ट मोड का पता लगाता है (Server Components अक्षम = सुरक्षित)

3. Server Function पहचान 🔍 गहन विश्लेषण

• सोर्स फ़ाइलों में 'use server' निर्देशों के लिए स्कैन करता है
• Server Functions वाली फ़ाइलों की पहचान करता है
• केवल उन प्रोजेक्ट्स को चिह्नित करता है जो वास्तव में Server Components का उपयोग करते हैं
• नोट: डायनामिक रूप से आयातित Server Functions के लिए मैन्युअल समीक्षा आवश्यक है

4. स्मार्ट गलत सकारात्मक रोकथाम ✅ सटीकता

• केवल React 19 + Server Components + 'use server' निर्देशों वाले ऐप्स को चिह्नित करता है
• एज केसों के लिए संदर्भ प्रदान करता है
• बताता है कि प्रोजेक्ट असुरक्षित क्यों हैं या क्यों नहीं

5. मल्टी-प्रोजेक्ट स्कैनिंग 📁 स्केल

• रिकर्सिव डायरेक्टरी स्कैनिंग
• npm, yarn और pnpm प्रोजेक्ट्स का पता लगाता है
• प्रोजेक्ट-विशिष्ट फिक्स कमांड उत्पन्न करता है

🎯 स्कैनर की विशेषताएँ

गुण	मान
CVE ID	CVE-2025-55182
नाम	React2Shell
CVSS स्कोर	10.0 (गंभीर)
CVSS वेक्टर	AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
हमला वेक्टर	नेटवर्क
प्रमाणीकरण	कोई आवश्यक नहीं
प्रभाव	पूर्ण सिस्टम समझौता

प्रभावित संस्करण

React:

• 19.0.0, 19.1.0, 19.1.1, 19.2.0

React Server DOM Packages:

• react-server-dom-webpack 19.0.0 - 19.2.0
• react-server-dom-parcel 19.0.0 - 19.2.0
• react-server-dom-turbopack 19.0.0 - 19.2.0

Next.js:

• 14.0.0 से 14.2.34
• 14.3.0-canary.0 से 14.3.0-canary.87
• 15.0.0 से 15.0.6
• 15.1.0 से 15.1.8
• 15.2.0 से 15.2.5
• 15.3.0 से 15.3.5
• 15.4.0 से 15.4.7
• 15.5.0 से 15.5.6
• 16.0.0 से 16.0.9

अतिरिक्त प्रभावित फ्रेमवर्क (React आधिकारिक सलाह के अनुसार):

• react-router 7.0.0 - 7.1.3
• waku 0.21.0 - 0.21.5
• @parcel/rsc 2.12.0 - 2.13.2
• @vitejs/plugin-rsc 0.1.0 - 0.2.0
• rwsdk (Redwood SDK) 0.1.0 - 0.4.0
• expo 52.0.0 - 52.0.9

पैच किए गए संस्करण

React: 19.2.1 या बाद का

Next.js:

• 14.2.35+, 14.3.0-canary.88+
• 15.0.7+, 15.1.9+, 15.2.6+, 15.3.6+, 15.4.8+, 15.5.7+
• 16.0.10+

अन्य फ्रेमवर्क:

• react-router: 7.1.4+
• waku: 0.21.6+
• @parcel/rsc: 2.13.3+
• @vitejs/plugin-rsc: 0.2.1+
• rwsdk: 0.4.1+
• expo: 52.0.10+

🚀 शुरू करना

पूर्वापेक्षाएँ

Node.js स्कैनर (अनुशंसित):

• Node.js 12+ (क्रॉस-प्लेटफ़ॉर्म, कोई निर्भरता नहीं)

Bash स्कैनर:

• Bash 3.2+ (macOS/Linux)
• jq (JSON प्रोसेसर)

# Install jq (if using Bash scanner)
# macOS
brew install jq

# Ubuntu/Debian
sudo apt-get install jq

# RHEL/CentOS
sudo yum install jq

चरण 1: स्कैनर प्राप्त करें

विकल्प A: क्लोन करें (उपयोगकर्ताओं के लिए अनुशंसित)

# Clone the repository
git clone https://github.com/nxgn-kd01/react2shell-scanner.git
cd react2shell-scanner

# Make scripts executable
chmod +x scan.sh scan.js

विकल्प B: फ़ोर्क करें (योगदानकर्ताओं के लिए अनुशंसित)

# Fork on GitHub (click "Fork" button on repository page)
# Then clone your fork
git clone https://github.com/YOUR_USERNAME/react2shell-scanner.git
cd react2shell-scanner

# Make scripts executable
chmod +x scan.sh scan.js

# Add upstream remote to stay updated
git remote add upstream https://github.com/nxgn-kd01/react2shell-scanner.git

विकल्प C: सीधा डाउनलोड

# Node.js version (recommended - cross-platform)
curl -O https://raw.githubusercontent.com/nxgn-kd01/react2shell-scanner/main/scan.js
chmod +x scan.js

# Bash version (Unix/Linux/macOS only)
curl -O https://raw.githubusercontent.com/nxgn-kd01/react2shell-scanner/main/scan.sh
chmod +x scan.sh

💻 उपयोग

चरण 2: स्कैनर चलाएँ

🔍 वर्तमान डायरेक्टरी स्कैन करें:

# Using Node.js (recommended)
node scan.js

# Using Bash
./scan.sh

📁 विशिष्ट प्रोजेक्ट स्कैन करें:

node scan.js /path/to/project
./scan.sh /path/to/project

🗂️ रिकर्सिव स्कैन (सभी उप-डायरेक्टरी):

node scan.js -r
./scan.sh -r

उन्नत विकल्प

JSON आउटपुट (स्वचालन के लिए):

node scan.js --json
./scan.sh --json

CI/CD मोड (असुरक्षित होने पर कोड 1 के साथ बाहर निकलता है):

node scan.js --ci
./scan.sh --ci

विस्तृत आउटपुट:

node scan.js -v
./scan.sh -v

विकल्पों को संयोजित करें:

node scan.js /path/to/projects -r --json --ci
./scan.sh /path/to/projects -r --json --ci

कमांड लाइन विकल्प

विकल्प	विवरण
-r, --recursive	Node.js प्रोजेक्ट्स के लिए सभी उप-डायरेक्टरी स्कैन करें
-v, --verbose	विस्तृत आउटपुट दिखाएँ
--json	परिणाम JSON के रूप में आउटपुट करें
--ci	कमजोरियाँ मिलने पर कोड 1 के साथ बाहर निकलें (CI/CD के लिए)
-h, --help	सहायता संदेश दिखाएँ

एग्ज़िट कोड

कोड	अर्थ
0	कोई कमजोरी नहीं मिली
1	कमजोरियाँ मिलीं (--ci फ्लैग उपयोग करने पर)
2	स्कैन त्रुटि हुई

उदाहरण

उदाहरण 1: एकल प्रोजेक्ट स्कैन करें

$ node scan.js ~/my-react-app