Scanner di Vulnerabilità Next.js CVE-2025-29927

Panoramica

Questo script analizza un elenco di URL per rilevare se utilizzano Next.js e determina se sono vulnerabili a CVE-2025-29927. Opzionalmente tenta lo sfruttamento utilizzando una wordlist.

Caratteristiche

• Identifica i siti web che utilizzano Next.js.
• Controlla la versione di Next.js per determinare la vulnerabilità.
• Tenta di sfruttare i siti vulnerabili (a scopo di test).
• Supporta un percorso personalizzato di Chromium per Puppeteer.
• Consente l'input di URL da un file o da argomenti della riga di comando.
• Segue i redirect (opzionale, potrebbe causare falsi positivi).
• Restituisce i risultati in un oggetto JSON o in un file.

Installazione

# Clone the repository
git clone https://github.com/ferpalma21/Automated-Next.js-Security-Scanner-for-CVE-2025-29927.git
cd Automated-Next.js-Security-Scanner-for-CVE-2025-29927.git

# Install dependencies
npm install

Utilizzo

Esegui lo script con diverse opzioni:

node index.js -u "https://example.com" -v

Argomenti dalla riga di comando

Esempi di Utilizzo

Scansiona un singolo sito web

node index.js -u "https://example.com"

Scansiona più siti web

node index.js -u "https://site1.com, https://site2.com"

Scansiona siti web da un file

node index.js -f urls.txt

Salva i risultati in un file

node index.js -u "https://example.com" -o results.txt

Esegui in modalità verbose

node index.js -u "https://example.com" -v

Tenta lo sfruttamento (usare con cautela!)

node index.js -u "https://example.com" -a -w wordlist.txt

Output

• Modalità Verbose (-v): Log dettagliati stampati nella console.
• Output JSON: Quando -v non è impostato, i risultati vengono stampati come JSON.
• Output su file (-o): Salva le vulnerabilità rilevate in un file.

Esempio di Output (Modalità Verbose)

Analyzing: https://example.com
https://example.com is running Next.js version: 13.5.9.
Potentially vulnerable to CVE-2025-29927.

Note

• Usalo a tuo rischio. Assicurati di avere il permesso di scansionare i siti web.
• Imposta il percorso corretto di Chromium se Puppeteer non si avvia.

Mitigazione

Effettua l'upgrade a Next.js 14.2.25 o 15.2.3 o successiva. Se l'upgrade non è possibile, blocca l'header x-middleware-subrequest a livello di WAF o server. Versioni corrette: 15.2.3, 14.2.25, 13.5.9, 12.3.5

Prossimi Passi

• Gestione degli errori e logica di riprova
• Ottenere email dal sito web e inviare un'email automatica ai proprietari del sito web

Licenza

Questo progetto è concesso in licenza con la Licenza MIT.