TanStack Router CVE Scanner

Uno strumento di scansione della sicurezza per rilevare la CVE di TanStack Router | GHSA di TanStack Router nei tuoi progetti.

Panoramica

Questo strumento analizza il tuo codebase alla ricerca di indicatori della vulnerabilità di TanStack Router (CVE-2026-45321 / GHSA-g7cv-rxg3-hmpx), che interessa versioni specifiche dei pacchetti TanStack Router. Rileva:

• file router_init.js che potrebbero contenere codice dannoso
• dipendenze opzionali sospette in package.json
• versioni di pacchetti vulnerabili note
• versioni vulnerabili nei file di lock (package-lock.json, pnpm-lock.yaml, yarn.lock)
• voci correlate nei log npm

Versioni vulnerabili note

Le seguenti versioni dei pacchetti vengono contrassegnate come vulnerabili:

Livelli di rischio

• HIGH: Rilevati file router_init.js, dipendenze opzionali sospette o versioni vulnerabili in package.json/file di lock
• MEDIUM: Rilevate solo voci correlate nei log npm
• LOW: Nessun indicatore trovato

Installazione

macOS

1. Apri Terminal
2. Vai alla directory del tuo progetto:
   root@kitploit:~

   cd /path/to/your/project
   

3. Esegui lo scanner (vedi Utilizzo di seguito)

Windows

1. Apri Prompt dei comandi o PowerShell
2. Vai alla directory del tuo progetto:
   root@kitploit:~

   cd C:\path\to\your\project
   

3. Esegui lo scanner (vedi Utilizzo di seguito)

Linux

1. Apri un terminale
2. Vai alla directory del tuo progetto:
   root@kitploit:~

   cd /path/to/your/project
   

3. Esegui lo scanner (vedi Utilizzo di seguito)

Utilizzo

Utilizzo di base

Esegue la scansione della directory corrente:

node scan.js

Esegue la scansione di una cartella specifica:

node scan.js /path/to/your/project

Esegue la scansione della directory home:

node scan.js ~

Salva l'output in un file JSON

macOS / Linux:

node scan.js ~/your-project > scan-result.json

Windows (Prompt dei comandi):

node scan.js C:\Users\YourName\your-project > scan-result.json

Windows (PowerShell):

node scan.js C:\Users\YourName\your-project | Out-File -FilePath scan-result.json

Esempi di flussi di lavoro

Esegui la scansione di un singolo progetto:

cd /Users/username/my-react-app
node scan.js . > result.json
cat result.json

Esegui la scansione dell'intero sistema (macOS/Linux):

node scan.js ~ > full-scan.json

Esegui la scansione con jq (macOS/Linux) - filtra solo il livello di rischio:

node scan.js . | jq -r '.risk'

Formato dell'output

Lo scanner restituisce JSON con la seguente struttura:

{
  "scannedRoot": "/path/to/scanned/directory",
  "risk": "HIGH|MEDIUM|LOW",
  "summary": {
    "routerInit": 0,
    "optionalDeps": 0,
    "badPackageVersions": 0,
    "badLockVersions": 0,
    "npmLogs": 0,
    "errors": 0
  },
  "findings": {
    "routerInit": [],
    "optionalDeps": [],
    "badPackageVersions": [],
    "badLockVersions": [],
    "npmLogs": [],
    "errors": []
  }
}

Directory ignorate

Per migliorare le prestazioni, lo scanner ignora automaticamente le seguenti directory:

• .git
• .next
• .nuxt
• .turbo
• .cache
• .DS_Store
• dist
• build
• coverage
• .yarn

Vengono ignorati anche i file di dimensioni superiori a 5MB.

Cosa fare se vulnerabile

Se lo scanner segnala un rischio HIGH:

1. Controlla immediatamente i file package.json interessati
2. Aggiorna i pacchetti vulnerabili alle ultime versioni sicure
3. Rimuovi eventuali file router_init.js sospetti
4. Reinstalla da zero le dipendenze:
   root@kitploit:~

   rm -rf node_modules package-lock.json
   npm install
   

5. Controlla i tuoi file di lock per eventuali configurazioni dannose
6. Segnala la vulnerabilità se hai trovato prove di sfruttamento

Risorse aggiuntive

• TanStack Router GitHub
• NVD CVE-2026-45321
• Avviso di sicurezza