CVE-2025-55182 ハイブリッドセキュリティスキャナ

CVE-2025-55182 向けに設計された、静的解析と動的エクスプロイト機能を橋渡しするプロフェッショナルなハイブリッドセキュリティスキャナです。このツールは、開発者（シフトレフトセキュリティ）とセキュリティ専門家（本番環境テスト）の両方に役立ちます。

特徴

• 静的解析: package.json とソースコードをスキャンし、脆弱な Next.js/Waku バージョンや危険な RSC パターンを検出します。
• 動的検証: 有害なペイロードを実行せずに、稼働中のエンドポイントの RSC 脆弱性露出を安全にテストします。
• ハイブリッドモード: 静的チェックと動的チェックを組み合わせ、包括的なリスク評価を実施します。
• レポート: 詳細な結果を JSON 形式で出力し、色分けされた CLI フィードバックを提供します。
• CI/CD 対応: 非対話モードと終了コードをサポートし、パイプラインに統合できます。

インストール

1. 前提条件: Python 3.8 以上

2. 依存関係のインストール:

   root@kitploit:~

   pip install -r requirements.txt
   

使い方

基本スキャン

静的解析（コードベース） ローカルプロジェクトディレクトリをスキャンし、脆弱な依存関係やコードパターンを検出します。

python cve_2025_55182_scan.py --static /path/to/project

動的解析（ライブサイト） 実行中のアプリケーション URL を安全にテストします。

python cve_2025_55182_scan.py --dynamic http://localhost:3000

高度な使い方

ハイブリッドスキャン 静的結果と動的結果を組み合わせて完全なレポートを生成します。

python cve_2025_55182_scan.py --hybrid /path/to/project --url http://localhost:3000

CI/CD パイプラインモード 非対話モードで実行し、Critical または High の重大度の問題が見つかった場合にビルドを失敗させます。

python cve_2025_55182_scan.py --ci --fail-on high --static .

アプリケーションロジック

• 静的モジュール: package.json 内の dependencies をチェックし、脆弱な Next.js (< 14.1.1) および Waku バージョンを検出します。.js/.ts ファイルをスキャンして "use server"、動的インポート、Flight プロトコルマーカーを確認します。
• 動的モジュール: 非破壊的な Flight プロトコルペイロードを送信し、ターゲットが RSC ヘッダー（Next-Action、Next-Router-State-Tree）を解析するかどうかを検出します。
• レポート: report.json を生成し、発見事項の要約と修正のための具体的な詳細情報を提供します。

免責事項

このツールは教育目的および許可されたセキュリティテスト専用です。ターゲットをスキャンする前に、必ず許可を得てください。