React2Shell脆弱性検証スクリプト (`verify_react_vulnerability.py`)

このスクリプトは何ですか？

これは、プロジェクトが重大なReact2Shell脆弱性（別名CVE-2025-55182）の影響を受けているかどうかをすばやく判断するのに役立つ、シンプルでスタンドアロンのPythonスクリプトです。

これは2段階のチェックを実行します:

依存関係チェック: package.jsonファイルを検査し、既知の脆弱性のあるReactおよびNext.jsのバージョンを確認します。
包括的なコードベーススキャン（オプション）: 依存関係チェックが合格した場合、ソースコードの詳細なスキャンを実行するオプションを提供します。このスキャンは、プロジェクトが脆弱なReact Server Components機能セットを使用していることを示す幅広い手がかりを探します。

何をしますか？

package.jsonを検索: 実行されたディレクトリ内でpackage.jsonファイルを探します。
依存関係を読み取る: プロジェクトに一覧表示されているreactとnextの正確なバージョンを特定します。
バージョンを比較: インストールされているバージョンを、脆弱性が既知であるバージョンの組み込みリストと比較します。
修正を提供: 脆弱な依存関係が見つかった場合、安全なバージョンに更新するための正確なnpm installコマンドを提供します。
包括的な詳細スキャンを提供: 依存関係が安全であると思われる場合、コードのより深い分析を実行する許可を求めます。このスキャンは、次の複数のパターンを探します:
- "use server"
- "use client"
- createSafeActionClient
- registerServerReference
- react-server-dom-webpack
詳細な結果を報告: 詳細スキャンでいずれかのパターンが見つかった場合、各パターンの意味を説明する詳細なレポートを提供し、それらが見つかったファイルを一覧表示します。

使用方法

前提条件

Python 3: Python 3がインストールされている必要があります。python3 --versionを実行して確認できます。
Packagingライブラリ: スクリプトはソフトウェアのバージョンを比較するために一般的なPythonライブラリを使用します。それがない場合は、pipでインストールしてください:
```
pip install packaging
```

スクリプトの実行

verify_react_vulnerability.pyスクリプトがプロジェクトのルートディレクトリ（package.jsonと同じディレクトリ）にあることを確認してください。
ターミナルを開いて、次のコマンドを実行してください:
```
python3 verify_react_vulnerability.py
```

出力の解釈

シナリオ1: 脆弱な依存関係が見つかった場合

脆弱なライブラリのバージョンが見つかった場合、スクリプトはすぐに停止して問題を報告します:

--- Step 1: Checking versions in package.json ---
❌ VULNERABLE: Found React version 19.0.1.
...
-------------------------------------------------

❌ SUMMARY: Your project is VULNERABLE based on dependency versions.
   Please update the following dependencies immediately.

--- Recommended Fixes ---
npm install [email protected] [email protected]
...
-------------------------------------------------

シナリオ2: 脆弱な依存関係がない場合（包括的なコードスキャン付き）

依存関係が安全な場合、スクリプトは詳細スキャンを提案します。

--- Step 1: Checking versions in package.json ---
✅ OK: Found React version 18.3.1. Not in a known vulnerable range.
...
-------------------------------------------------

✅ INFO: Your project's dependencies do not seem to be affected by React2Shell.
   However, vulnerable features might be in use if code was copy-pasted or 'vendored'.
   Do you want to perform a comprehensive deep code scan? (y/n): y

詳細スキャンで指標が見つかった場合、詳細なレポートが提供されます:

--- Step 2: Performing Comprehensive Deep Code Scan ---
Searching for patterns related to React Server Components...

⚠️ WARNING: Deep scan found indicators of React Server Component usage.
   This does not guarantee a vulnerability, but warrants a manual review.
   Ensure your framework versions are fully patched.

   - Found pattern '"use server"':
     Reason: Indicates a file contains React Server Actions, the primary feature associated with the vulnerability.
     In files: ['src/actions/auth.ts']

   - Found pattern '"use client"':
     Reason: Indicates a Client Component, which may import and use Server Actions from other files.
     In files: ['src/components/LoginButton.tsx', 'src/components/ThemeSwitcher.tsx']
-------------------------------------------------

詳細スキャンで何も見つからなかった場合、プロジェクトが安全である可能性が高いことを確認します:

--- Step 2: Performing Comprehensive Deep Code Scan ---
Searching for patterns related to React Server Components...

✅ OK: The comprehensive deep scan did not find any indicators of RSC usage.
-------------------------------------------------

React2Shell-Vulnerability-Verification-Script

人気