Scanner per la vulnerabilità React CVE-2025-55182

Uno script bash per scansionare il tuo server alla ricerca di applicazioni React vulnerabili a CVE-2025-55182 — una vulnerabilità critica di esecuzione remota di codice (CVSS 10.0) in React Server Components.

⚠️ Sulla vulnerabilità

Il 3 dicembre 2025, il team di React ha divulgato una vulnerabilità di sicurezza critica che interessa React Server Components. Un attaccante non autenticato può sfruttare un difetto nel modo in cui React decodifica i payload inviati agli endpoint React Server Function per ottenere l'esecuzione remota di codice.

Pacchetti interessati:

• react-server-dom-webpack versioni 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-parcel versioni 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-turbopack versioni 19.0.0, 19.1.0, 19.1.1, 19.2.0

Versioni corrette: 19.0.1, 19.1.2, 19.2.1

📖 Articolo ufficiale del blog di React

🚀 Avvio rapido

Installazione ed esecuzione in un'unica riga

curl -sSL https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh | sudo bash

Installazione manuale

# Scarica
curl -O https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh

# Rendilo eseguibile
chmod +x scan-react-vuln.sh

# Esegui con sudo per una scansione completa del sistema
sudo ./scan-react-vuln.sh

Installazione a livello di sistema

sudo curl -o /usr/local/bin/scan-react-vuln https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh
sudo chmod +x /usr/local/bin/scan-react-vuln

# Ora eseguilo da qualsiasi posizione
sudo scan-react-vuln

📋 Cosa viene scansionato

Lo script scansiona le seguenti posizioni alla ricerca di applicazioni React:

Esclusioni (per ridurre i falsi positivi)

• Directory node_modules/
• Directory .cache/, .npm/, .pnpm/
• Directory WordPress (wp-content/, wp-includes/, plugins/, themes/)

🎨 Output

Lo scanner fornisce un output con codifica a colori:

• 🔴 [VULNERABILE] - L'applicazione ha pacchetti RSC vulnerabili installati
• 🟢 [SICURO] - L'applicazione ha React ma nessun pacchetto vulnerabile
• 🟡 [AGGIORNAMENTO CONSIGLIATO] - Versione di React che potrebbe essere interessata

Esempio di output

============================================================
  React CVE-2025-55182 Vulnerability Scanner
  Critical: Remote Code Execution (CVSS 10.0)
============================================================

Scanning for React applications...

Scanning: /home/deploy (owner: deploy)
[VULNERABLE] my-nextjs-app
  Path: /home/deploy/my-nextjs-app
  Owner: deploy
    - [email protected] (VULNERABLE)
    - [email protected] (UPDATE RECOMMENDED)

[SAFE] my-react-spa
  Path: /home/deploy/my-react-spa
  Owner: deploy
    - [email protected]

============================================================
  SCAN COMPLETE
============================================================

🔧 Requisiti

• Bash 4.0+ (per gli array associativi)
• Linux/macOS (utilizza find, grep, sed)
• Opzionale: jq per un parsing JSON più affidabile

Controlla la versione del tuo bash:

bash --version

🛠️ Correzione delle vulnerabilità

Se lo scanner rileva applicazioni vulnerabili, aggiornale immediatamente:

Applicazioni React generiche

npm install react@latest react-dom@latest
npm install react-server-dom-webpack@latest

Next.js

npm install [email protected]   # o l'ultima versione della tua linea di rilascio

React Router (con RSC)

npm install react@latest react-dom@latest react-server-dom-parcel@latest

Waku

npm install react@latest react-dom@latest react-server-dom-webpack@latest waku@latest

🔒 Note sulla sicurezza

• Esegui con sudo per scansionare tutte le directory utente
• Lo script è di sola lettura e non modifica alcun file
• Codice di uscita 0 = nessuna vulnerabilità trovata
• Codice di uscita 1 = vulnerabilità rilevate (utile per CI/CD)

📄 Licenza

Licenza MIT - Libero da usare, modificare e distribuire.

🤝 Contributi

Le pull request sono benvenute! Assicurati che qualsiasi modifica:

1. Non introduca falsi positivi
2. Mantenga la compatibilità con le versioni precedenti
3. Funzioni senza jq installato

📚 Riferimenti

• CVE-2025-55182
• Avviso di sicurezza React
• Changelog di Next.js

Fatto con ❤️ per la community di React. Resta al sicuro! 🛡️