CVE-2025-55182 Strumento di rilevamento batch

Strumento efficiente per il rilevamento batch della vulnerabilità di prototype pollution in Next.js (CVE-2025-55182).

Panoramica della vulnerabilità

CVE-2025-55182 è una vulnerabilità di prototype pollution nel framework Next.js che consente a un aggressore di eseguire codice arbitrario tramite richieste appositamente costruite. La vulnerabilità interessa le applicazioni che utilizzano Server Actions di Next.js.

Caratteristiche

• ✅ Rilevamento batch - Supporta l'importazione batch di asset per il rilevamento delle vulnerabilità
• ✅ Concorrenza multithread - Numero di thread personalizzabile per un rilevamento concorrente efficiente
• ✅ Barra di progresso - Mostra in tempo reale l'avanzamento del rilevamento e le statistiche delle vulnerabilità
• ✅ Rilevamento multi-percorso - Rileva automaticamente percorsi comuni come /, /apps, /signin
• ✅ Supporto JSON per asset - Supporta la lettura di file JSON di asset
• ✅ Esportazione risultati - Esportazione automatica dei risultati in un file
• ✅ Esecuzione standalone - Supporta il confezionamento come eseguibile, senza necessità di ambiente Python

Requisiti di sistema

• Python 3.8+
• Windows / Linux / macOS

Installazione

Metodo 1: Esecuzione diretta dello script Python

# 克隆仓库
git clone https://github.com/your-username/CVE-2025-55182.git
cd CVE-2025-55182

# 创建虚拟环境
python -m venv venv

# 激活虚拟环境
# Windows:
venv\Scripts\activate
# Linux/macOS:
source venv/bin/activate

# 安装依赖
pip install requests tqdm

# 运行
python CVE-2025-55182批量测试脚本.py

Metodo 2: Utilizzo dell'eseguibile preconfezionato

Scarica direttamente dist/CVE-2025-55182检测工具.exe ed eseguilo.

Utilizzo

1. Preparare il file degli asset

Crea la cartella zc nella stessa directory del programma e inserisci i file JSON degli asset al suo interno.

Formato del file degli asset (un oggetto JSON per riga):

{"host":"https://example.com","link":"https://example.com","title":"Example"}
{"host":"https://test.com","link":"https://test.com","title":"Test"}

Campi degli asset supportati:

• link - URL completo (obbligatorio)
• host - Nome host
• title - Titolo del sito
• ip - Indirizzo IP
• port - Porta

2. Eseguire il programma

python CVE-2025-55182批量测试脚本.py

Oppure esegui direttamente l'eseguibile preconfezionato:

CVE-2025-55182检测工具.exe

3. Selezionare il file degli asset

All'avvio, il programma elenca tutti i file JSON nella directory zc:

============================================================
🔍 CVE-2025-55182 Strumento di rilevamento batch per vulnerabilità
============================================================

============================================================
📁 Elenco file degli asset disponibili:
============================================================
  [1] asset1.json (128.5 KB)
  [2] asset2.json (256.3 KB)
============================================================

Selezionare il numero del file degli asset (premere q per uscire): 1

4. Impostare il numero di thread

Numero di thread predefinito: 10
Inserisci il numero di thread (premere Invio per usare il valore predefinito): 20
✅ Numero di thread impostato: 20

5. Visualizzare i risultati del rilevamento

Rilevamento progresso: 100%|████████████████████████| 1000/1000 [05:30<00:00, 3.03/s] Vulnerabilità=5

✅ Rilevamento completato! Tempo totale: 330.5 secondi
📊 Totale controllati: 1000 | Vulnerabilità trovate: 5
📄 Risultati delle vulnerabilità esportati in: D:\work\vuln.txt

Principio di rilevamento

1. Costruire una richiesta multipart/form-data contenente il payload di prototype pollution
2. Inviare una richiesta POST al bersaglio su più percorsi comuni
3. Verificare se l'intestazione della risposta contiene l'indicatore del risultato dell'esecuzione del comando
4. Se presente, determinare che la vulnerabilità esiste

File di output

I risultati del rilevamento vengono salvati nel file vuln.txt nella stessa directory del programma, con un URL vulnerabile per riga:

https://vulnerable-site1.com/
https://vulnerable-site2.com/apps
https://vulnerable-site3.com/signin

Parametri di configurazione

I seguenti parametri possono essere modificati nello script:

Dichiarazione di non responsabilità

Questo strumento è destinato esclusivamente a scopi di ricerca sulla sicurezza e test autorizzati. L'utilizzo di questo strumento per test non autorizzati è illegale. L'utente si assume ogni responsabilità legale. Gli autori non sono responsabili per qualsiasi uso improprio.

Licenza

Licenza MIT

Riferimenti

• Dettagli vulnerabilità CVE-2025-55182
• Next.js Security Advisory