Next.js CVE-2025-29927 脆弱性スキャナー

概要

このスクリプトは、URLのリストをスキャンしてNext.jsを使用しているかどうかを検出し、CVE-2025-29927に対して脆弱かどうかを判断します。オプションでワードリストを使用した悪用を試みます。

機能

• Next.jsを使用しているウェブサイトを特定します。
• 脆弱性を判断するためにNext.jsのバージョンをチェックします。
• 脆弱なサイトの悪用を試みます（試験的）。
• PuppeteerのカスタムChromiumパスをサポートします。
• ファイルまたはコマンドライン引数からのURL入力を許可します。
• リダイレクトに従います（オプション、誤検知の原因となる可能性があります）。
• 結果をJSONオブジェクトまたはファイルに出力します。

インストール

# Clone the repository
git clone https://github.com/ferpalma21/Automated-Next.js-Security-Scanner-for-CVE-2025-29927.git
cd Automated-Next.js-Security-Scanner-for-CVE-2025-29927.git

# Install dependencies
npm install

使用法

スクリプトを異なるオプションで実行します:

node index.js -u "https://example.com" -v

コマンドライン引数

使用例

単一のウェブサイトをスキャン

node index.js -u "https://example.com"

複数のウェブサイトをスキャン

node index.js -u "https://site1.com, https://site2.com"

ファイルからウェブサイトをスキャン

node index.js -f urls.txt

結果をファイルに保存

node index.js -u "https://example.com" -o results.txt

詳細モードで実行

node index.js -u "https://example.com" -v

悪用を試みる（注意して使用！）

node index.js -u "https://example.com" -a -w wordlist.txt

出力

• 詳細モード（-v）: 詳細なログがコンソールに出力されます。
• JSON出力: -vが設定されていない場合、結果はJSONとして出力されます。
• ファイル出力（-o）: 検出された脆弱性をファイルに保存します。

出力例（詳細モード）

Analyzing: https://example.com
https://example.com is running Next.js version: 13.5.9.
Potentially vulnerable to CVE-2025-29927.

注意事項

• 自己責任で使用してください。 ウェブサイトをスキャンする許可を得ていることを確認してください。
• Puppeteerが起動しない場合は、正しいChromiumパスを設定してください。

対策

Next.js 14.2.25 または 15.2.3 以降にアップグレードしてください。アップグレードが不可能な場合は、WAFまたはサーバーレベルで x-middleware-subrequest ヘッダーをブロックしてください。修正済みバージョン: 15.2.3, 14.2.25, 13.5.9, 12.3.5

次のステップ

• エラーハンドリングと再試行ロジック
• ウェブサイトからメールアドレスを取得し、ウェブサイトの所有者に自動メールを送信

ライセンス

このプロジェクトはMITライセンスの下で提供されています。