Scanner RCE per Next.js su Zoomeye

Autore: im-ezboy

Scanner per la RCE di Next.js (CVE-2025-55182) che utilizza la ricerca di Zoomeye. Trova i target tramite query Zoomeye e li testa con il payload dell'exploit fornito.

Caratteristiche

• Due dork Zoomeye mirati di default:
  • http.header="Vary: RSC, Next-Router-State-Tree"
  • vul.cve="CVE-2025-55182"
• Scansione parallela (20 thread di default) con controllo del timeout delle richieste.
• Salva i target vulnerabili in vulnerable_zoomeye_*.txt e in un report JSON dettagliato.
• L'output console evidenzia i target vulnerabili con separatori per la leggibilità.
• Limite massimo di risultati totali specificabile dall'utente (massimo 500.000) per gestire l'ambito.

Requisiti

• Python 3.8+
• Dipendenze: requests, tqdm

Installa le dipendenze:

pip install requests tqdm

Configurazione

Modifica zoomeye.py:

• ZOOMEYE_API_KEY – inserisci qui la tua chiave API Zoomeye (rimuovila prima di inviare a repository pubblici).
• Opzionali: ZOOMEYE_USERNAME, ZOOMEYE_PASSWORD se preferisci l'accesso JWT (lasciali vuoti per usare la chiave API).
• RESULTS_PER_QUERY (default 1000) e MAX_PAGES (default 200) – controlli di paginazione; soggetti ai limiti del tuo piano.
• MAX_TOTAL_LIMIT (default 500_000) – limite massimo assoluto per i risultati totali richiesti dall'utente.
• SCAN_THREADS (default 20) e REQUEST_TIMEOUT (default 10s) – parametri per regolare la velocità di scansione rispetto all'affidabilità.

Utilizzo

python3 zoomeye.py

Ti verrà chiesto il limite massimo di risultati totali (<= 500000). Premi Invio per usare il valore predefinito (RESULTS_PER_QUERY * 2).

Esempio:

Enter max total results to collect (<= 500000, blank=default 2000):

Output

• Console:
  • Separatori di sezione (============================) per ogni fase.
  • Se vengono trovate vulnerabilità, vengono elencate in rosso con i relativi indici.
• File:
  • vulnerable_zoomeye_YYYYMMDD_HHMMSS.txt – target vulnerabili (uno per riga).
  • report_zoomeye_YYYYMMDD_HHMMSS.json – riepilogo e metadati.

Note per GitHub

• Rimuovi o sostituisci qualsiasi chiave API reale prima di eseguire il commit.
• Opzionalmente, carica la chiave da variabili d'ambiente invece di hardcodarla.
• Aggiungi vulnerable_*.txt e report_*.json al tuo .gitignore se non vuoi che gli output di scansione vengano committati.

Sicurezza e limiti

• Limiti elevati potrebbero incorrere nei rate limit di Zoomeye o nei limiti del piano; regola di conseguenza RESULTS_PER_QUERY, MAX_PAGES e il limite totale richiesto.
• Il payload dell'exploit è per CVE-2025-55182; usalo in modo responsabile e solo su target che sei autorizzato a testare.