Script de Verificação da Vulnerabilidade React2Shell (verify_react_vulnerability.py)

O que é este script?

Este é um script Python simples e independente criado para ajudar você a determinar rapidamente se seu projeto é afetado pela vulnerabilidade crítica React2Shell (também conhecida como CVE-2025-55182).

Ele realiza uma verificação em dois níveis:

1. Verificação de Dependências: Inspeciona seu arquivo package.json em busca de versões conhecidas vulneráveis do React e do Next.js.
2. Varredura Abrangente do Código (Opcional): Se a verificação de dependências for aprovada, ele oferece realizar uma varredura profunda no seu código-fonte. Esta varredura procura por uma ampla gama de indícios de que seu projeto está usando o conjunto de funcionalidades vulneráveis dos React Server Components.

O que ele faz?

1. Encontra o package.json: Procura pelo arquivo package.json no diretório onde é executado.
2. Lê as Dependências: Encontra as versões exatas do react e do next listadas no seu projeto.
3. Compara Versões: Compara suas versões instaladas com uma lista interna de versões conhecidas como vulneráveis.
4. Fornece uma Correção: Se uma dependência vulnerável for encontrada, o script fornece o comando npm install exato para atualizar para uma versão segura.
5. Oferece uma Varredura Profunda Abrangente: Se suas dependências parecerem seguras, ele pede permissão para executar uma análise muito mais profunda do seu código. Esta varredura procura por vários padrões, incluindo:
   • "use server"
   • "use client"
   • createSafeActionClient
   • registerServerReference
   • react-server-dom-webpack
6. Relata Descobertas Detalhadas: Se a varredura profunda encontrar algum dos padrões, ela fornece um relatório detalhado explicando o que cada padrão significa e lista os arquivos onde foram encontrados.

Como usar

Pré-requisitos

1. Python 3: Você precisa ter o Python 3 instalado. Pode verificar isso executando python3 --version.
2. Biblioteca de Empacotamento: O script usa uma biblioteca Python comum para comparar versões de software. Se você não a tiver, instale-a com pip:
   root@kitploit:~

   pip install packaging
   

Executando o Script

1. Certifique-se de que o script verify_react_vulnerability.py está no diretório raiz do seu projeto (o mesmo diretório do seu package.json).

2. Abra seu terminal e execute o comando:

   root@kitploit:~

   python3 verify_react_vulnerability.py
   

Entendendo a Saída

Cenário 1: Dependência Vulnerável Encontrada

Se uma versão vulnerável de biblioteca for encontrada, o script para e relata o problema imediatamente:

--- Passo 1: Verificando versões no package.json ---
❌ VULNERÁVEL: Encontrada versão 19.0.1 do React.
...
-------------------------------------------------

❌ RESUMO: Seu projeto está VULNERÁVEL com base nas versões das dependências.
   Por favor, atualize as seguintes dependências imediatamente.

--- Correções Recomendadas ---
npm install [email protected] [email protected]
...
-------------------------------------------------

Cenário 2: Nenhuma Dependência Vulnerável (com Varredura Abrangente do Código)

Se suas dependências estiverem seguras, o script oferecerá a varredura profunda.

--- Passo 1: Verificando versões no package.json ---
✅ OK: Encontrada versão 18.3.1 do React. Não está em uma faixa vulnerável conhecida.
...
-------------------------------------------------

✅ INFO: As dependências do seu projeto não parecem ser afetadas pelo React2Shell.
   No entanto, funcionalidades vulneráveis podem estar em uso se o código foi copiado e colado ou 'vendored'.
   Deseja realizar uma varredura abrangente e profunda do código? (s/n): s

Se a varredura profunda encontrar indicadores, ela fornecerá um relatório detalhado:

--- Passo 2: Realizando Varredura Abrangente e Profunda do Código ---
Procurando por padrões relacionados a React Server Components...

⚠️ AVISO: A varredura profunda encontrou indicadores de uso de React Server Components.
   Isso não garante uma vulnerabilidade, mas justifica uma revisão manual.
   Certifique-se de que suas versões do framework estão totalmente corrigidas.

   - Padrão encontrado '"use server"':
     Motivo: Indica que um arquivo contém React Server Actions, a funcionalidade principal associada à vulnerabilidade.
     Nos arquivos: ['src/actions/auth.ts']

   - Padrão encontrado '"use client"':
     Motivo: Indica um Client Component, que pode importar e usar Server Actions de outros arquivos.
     Nos arquivos: ['src/components/LoginButton.tsx', 'src/components/ThemeSwitcher.tsx']
-------------------------------------------------

Se a varredura profunda não encontrar nada, ela confirmará que seu projeto provavelmente está seguro:

--- Passo 2: Realizando Varredura Abrangente e Profunda do Código ---
Procurando por padrões relacionados a React Server Components...

✅ OK: A varredura profunda abrangente não encontrou nenhum indicador de uso de RSC.
-------------------------------------------------