TanStack Router CVE スキャナー

プロジェクト内の TanStack Router CVE および TanStack Router GHSA を検出するセキュリティスキャンツール。

概要

このツールはコードベースをスキャンして、TanStack Router の脆弱性（CVE-2026-45321 / GHSA-g7cv-rxg3-hmpx）の兆候を検出します。次のアイテムを検出します:

• 悪意のあるコードを含む可能性のある router_init.js ファイル
• package.json 内の不審なオプショナル依存関係
• 既知の脆弱なパッケージバージョン
• ロックファイル（package-lock.json、pnpm-lock.yaml、yarn.lock）内の脆弱なバージョン
• npm ログ内の関連エントリ

既知の脆弱性バージョン

以下のパッケージバージョンが脆弱としてフラグ付けされています:

リスクレベル

• 高: router_init.js が見つかった場合、または package.json/ロックファイルに不審なオプショナル依存関係や脆弱なバージョンがある場合
• 中: npm ログにのみ関連エントリが見つかった場合
• 低: 兆候が見つからなかった場合

インストール

macOS

1. ターミナルを開く
2. プロジェクトディレクトリに移動:
   root@kitploit:~

   cd /path/to/your/project
   

3. スキャナーを実行（下記の使用法を参照）

Windows

1. コマンドプロンプトまたは PowerShell を開く
2. プロジェクトディレクトリに移動:
   root@kitploit:~

   cd C:\path\to\your\project
   

3. スキャナーを実行（下記の使用法を参照）

Linux

1. ターミナルを開く
2. プロジェクトディレクトリに移動:
   root@kitploit:~

   cd /path/to/your/project
   

3. スキャナーを実行（下記の使用法を参照）

使用法

基本的な使用法

カレントディレクトリをスキャン:

node scan.js

特定のフォルダをスキャン:

node scan.js /path/to/your/project

ホームディレクトリをスキャン:

node scan.js ~

出力を JSON ファイルに保存

macOS / Linux:

node scan.js ~/your-project > scan-result.json

Windows (コマンドプロンプト):

node scan.js C:\Users\YourName\your-project > scan-result.json

Windows (PowerShell):

node scan.js C:\Users\YourName\your-project | Out-File -FilePath scan-result.json

ワークフロー例

単一のプロジェクトをスキャン:

cd /Users/username/my-react-app
node scan.js . > result.json
cat result.json

システム全体をスキャン（macOS/Linux）:

node scan.js ~ > full-scan.json

jq を使用したスキャン（macOS/Linux） - リスクレベルだけをフィルタリング:

node scan.js . | jq -r '.risk'

出力形式

スキャナーは以下の構造の JSON を出力します:

{
  "scannedRoot": "/path/to/scanned/directory",
  "risk": "HIGH|MEDIUM|LOW",
  "summary": {
    "routerInit": 0,
    "optionalDeps": 0,
    "badPackageVersions": 0,
    "badLockVersions": 0,
    "npmLogs": 0,
    "errors": 0
  },
  "findings": {
    "routerInit": [],
    "optionalDeps": [],
    "badPackageVersions": [],
    "badLockVersions": [],
    "npmLogs": [],
    "errors": []
  }
}

スキップされるディレクトリ

パフォーマンスを向上させるため、スキャナーは自動的に以下のディレクトリをスキップします:

• .git
• .next
• .nuxt
• .turbo
• .cache
• .DS_Store
• dist
• build
• coverage
• .yarn

5MB を超えるファイルもスキップされます。

脆弱性が見つかった場合の対処

スキャナーが 高 リスクを報告した場合:

1. 影響を受けた package.json ファイルをすぐに確認する
2. 脆弱なパッケージを最新の安全なバージョンに更新する
3. 不審な router_init.js ファイルを削除する
4. 依存関係をクリーンインストールする:
   root@kitploit:~

   rm -rf node_modules package-lock.json
   npm install
   

5. ロックファイルに悪質な設定がないか確認する
6. 悪用の証拠が見つかった場合は脆弱性を報告する

参考資料

• TanStack Router GitHub
• NVD CVE-2026-45321
• セキュリティアドバイザリ