🔍 Ferramenta de Teste de Segurança Next.js

Utilitário profissional de avaliação de segurança para aplicações Next.js

⚠️ Aviso Legal

Esta ferramenta destina-se apenas a testes de segurança autorizados e fins de pesquisa.

• ✅ Use apenas em sistemas que você possui ou para os quais tenha permissão explícita de teste
• ✅ Para programas de bug bounty com escopo adequado
• ✅ Para pesquisadores de segurança e testadores de penetração
• ❌ Nunca use contra sistemas sem autorização
• ❌ Não é para atividades maliciosas ou ilegais

Ao usar este software, você concorda em cumprir todas as leis e regulamentos aplicáveis.

📖 Visão Geral

Este utilitário oferece aos profissionais de segurança uma interface gráfica para testar aplicações Next.js contra a CVE-2025-55182. Ele ajuda as organizações a identificar possíveis problemas de segurança em suas implementações de React Server Components (RSC).

O que é a CVE-2025-55182?

A CVE-2025-55182 é um problema de segurança que afeta determinadas versões do framework Next.js. Esta ferramenta ajuda as equipes de segurança a:

• Identificar instalações Next.js afetadas
• Verificar o status do patch
• Avaliar a postura de segurança
• Documentar descobertas para remediação

✨ Recursos

Avaliação de Segurança

Salvaguardas Integradas

A ferramenta inclui recursos de divulgação responsável:

// Automatically blocks testing against:
// - Government domains (.gov)
// - Educational institutions (.edu)
// - Specific geographic regions

Capacidades Técnicas

• Suporte a Protocolos: HTTP/HTTPS com verificação SSL configurável
• Opções de Proxy: Suporte a proxies HTTP, HTTPS e SOCKS5
• Gerenciamento de Conexões: Timeouts configuráveis e pooling de conexões
• Codificação: Codificação Unicode de payloads para testes de WAF

🚀 Instalação

Para instalação manual no Windows e macOS,

siga os passos abaixo. Usuários de macOS também têm a opção de usar o conveniente arquivo DMG.

Pré-requisitos

• Go 1.24 ou superior
• Dependências do Fyne (para GUI)
• Conexão com a internet

Compilando a Partir do Código-Fonte

# Clone the repository
git clone https://github.com/ssmvl2/Nextjs-RCE-Exploit.git
cd Nextjs-RCE-Exploit

# Install dependencies
go mod download

# Build the application
go build -o nextjs-scanner .

# Run
./nextjs-scanner

Compilação Multiplataforma

# Windows
GOOS=windows GOARCH=amd64 go build -o nextjs-scanner.exe .

# Linux
GOOS=linux GOARCH=amd64 go build -o nextjs-scanner-linux .

# macOS
GOOS=darwin GOARCH=amd64 go build -o nextjs-scanner-mac .

📖 Uso

Iniciando a Aplicação

./nextjs-scanner

Interface GUI

A aplicação fornece uma interface gráfica intuitiva:

┌─────────────────────────────────────────────────────────────┐
│  Next.js Security Assessment Tool                          │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  Target URL:  [https://example.com________________]         │
│                                                             │
│  ☐ Enable Proxy    Proxy: [127.0.0.1:8080________]         │
│  ☐ Verify SSL      Timeout: [30 seconds__________]         │
│  ☐ WAF Bypass Mode                                          │
│                                                             │
│  ┌───────────────────────────────────────────────────────┐ │
│  │ Assessment Log:                                       │ │
│  │ [2025-01-15 10:30:15] Starting assessment...         │ │
│  │ [2025-01-15 10:30:16] Connecting to target...        │ │
│  │ [2025-01-15 10:30:17] Analyzing response...          │ │
│  └───────────────────────────────────────────────────────┘ │
│                                                             │
│        [ Start Assessment ]    [ Generate Report ]          │
│                                                             │
└─────────────────────────────────────────────────────────────┘

Opções de Configuração

🏗️ Arquitetura

Estrutura do Projeto

Nextjs-Security-Tool/
├── main.go              # Application entry point & GUI
├── go.mod               # Go module definition
├── go.sum               # Dependency checksums
└── README.md            # Documentation

Componentes Principais

type RequestHandler struct {
    httpClient     *http.Client
    requestTimeout time.Duration
    sslVerify      bool
    browserAgent   string
}

type PayloadResponse struct {
    Success bool   `json:"success"`
    Result  string `json:"result"`
    Error   string `json:"error,omitempty"`
}

Dependências

🔧 Configuração

Configuração de Proxy

// HTTP Proxy
handler.ConfigureProxy(true, "http://127.0.0.1:8080")

// SOCKS5 Proxy
handler.ConfigureProxy(true, "socks5://127.0.0.1:1080")

User Agent Personalizado

A ferramenta usa um user agent de navegador realista:

Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 
(KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36

📋 Divulgação Responsável

Se você descobrir problemas de segurança usando esta ferramenta:

1. Não divulgue publicamente até que o fornecedor seja notificado
2. Reporte ao fornecedor com informações detalhadas
3. Permita um prazo razoável para correções (normalmente 90 dias)
4. Siga práticas de divulgação coordenada

Canais de Notificação

• Segurança Next.js: [email protected]
• Programas de Bug Bounty do HackerOne

🛡️ Aviso Legal

Esta ferramenta é fornecida apenas para fins educacionais e de testes de segurança autorizados. Os usuários são responsáveis por:

• Obter autorização adequada antes de testar
• Cumprir as leis e regulamentos aplicáveis
• Usar a ferramenta de forma ética e responsável
• Quaisquer consequências resultantes do uso indevido

Os autores não assumem nenhuma responsabilidade pelo uso indevido deste software.

🤝 Contribuindo

Contribuições são bem-vindas para:

• Correções de bugs
• Melhorias na documentação
• Aprimoramentos de recursos de segurança
• Melhorias de UI/UX

Envie issues e pull requests pelo GitHub.

📄 Licença

Este projeto está licenciado sob a Licença MIT. Consulte LICENSE para obter detalhes.

📚 Referências

• Detalhes da CVE-2025-55182
• Documentação de Segurança do Next.js
• Segurança dos React Server Components
• Guia de Testes da OWASP

Feito para Profissionais de Segurança
🔒 Teste com Responsabilidade 🔒