Scanner de Vulnerabilidade CVE-2025-55182 do React

Um script bash para escanear seu servidor em busca de aplicações React vulneráveis ao CVE-2025-55182 — uma vulnerabilidade crítica de execução remota de código (CVSS 10.0) nos Componentes de Servidor do React.

⚠️ Sobre a Vulnerabilidade

Em 3 de dezembro de 2025, a equipe do React divulgou uma vulnerabilidade de segurança crítica que afeta os Componentes de Servidor do React. Um atacante não autenticado pode explorar uma falha na forma como o React decodifica payloads enviados para endpoints de Funções de Servidor do React para obter execução remota de código.

Pacotes afetados:

• react-server-dom-webpack versions 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-parcel versions 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-turbopack versions 19.0.0, 19.1.0, 19.1.1, 19.2.0

Versões corrigidas: 19.0.1, 19.1.2, 19.2.1

📖 Postagem Oficial do Blog do React

🚀 Início Rápido

Instalação e Execução em Uma Linha

curl -sSL https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh | sudo bash

Instalação Manual

# Download
curl -O https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh

# Make executable
chmod +x scan-react-vuln.sh

# Run with sudo for full system scan
sudo ./scan-react-vuln.sh

Instalação em Todo o Sistema

sudo curl -o /usr/local/bin/scan-react-vuln https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh
sudo chmod +x /usr/local/bin/scan-react-vuln

# Now run from anywhere
sudo scan-react-vuln

📋 O Que Ele Escaneia

O script escaneia os seguintes locais em busca de aplicações React:

Local	Descrição
/root	Diretório inicial do usuário root
/home/*	Todos os diretórios iniciais dos usuários
/var/www	Raiz comum do servidor web
/srv	Diretório de dados de serviço
/opt	Software de aplicação opcional

Exclusões (para reduzir falsos positivos)

• Diretórios node_modules/
• Diretórios .cache/, .npm/, .pnpm/
• Diretórios WordPress (wp-content/, wp-includes/, plugins/, themes/)

🎨 Saída

O scanner fornece saída codificada por cores:

• 🔴 [VULNERÁVEL] - A aplicação possui pacotes RSC vulneráveis instalados
• 🟢 [SEGURO] - A aplicação possui React mas nenhum pacote vulnerável
• 🟡 [ATUALIZAÇÃO RECOMENDADA] - Versão do React que pode ser afetada

Exemplo de Saída

============================================================
  React CVE-2025-55182 Vulnerability Scanner
  Critical: Remote Code Execution (CVSS 10.0)
============================================================

Scanning for React applications...

Scanning: /home/deploy (owner: deploy)
[VULNERABLE] my-nextjs-app
  Path: /home/deploy/my-nextjs-app
  Owner: deploy
    - [email protected] (VULNERABLE)
    - [email protected] (UPDATE RECOMMENDED)

[SAFE] my-react-spa
  Path: /home/deploy/my-react-spa
  Owner: deploy
    - [email protected]

============================================================
  SCAN COMPLETE
============================================================

🔧 Requisitos

• Bash 4.0+ (para arrays associativos)
• Linux/macOS (usa find, grep, sed)
• Opcional: jq para análise JSON mais confiável

Verifique sua versão do bash:

bash --version

🛠️ Corrigindo Vulnerabilidades

Se o scanner encontrar aplicações vulneráveis, atualize-as imediatamente:

Aplicações React Genéricas

npm install react@latest react-dom@latest
npm install react-server-dom-webpack@latest

Next.js

npm install [email protected]   # or latest in your release line

React Router (com RSC)

npm install react@latest react-dom@latest react-server-dom-parcel@latest

Waku

npm install react@latest react-dom@latest react-server-dom-webpack@latest waku@latest

🔒 Notas de Segurança

• Execute com sudo para escanear todos os diretórios dos usuários
• O script é somente leitura e não modifica nenhum arquivo
• Código de saída 0 = nenhuma vulnerabilidade encontrada
• Código de saída 1 = vulnerabilidades detectadas (útil para CI/CD)

📄 Licença

Licença MIT - Livre para usar, modificar e distribuir.

🤝 Contribuindo

Pull requests são bem-vindos! Por favor, garanta que quaisquer alterações:

1. Não introduzam falsos positivos
2. Mantenham compatibilidade reversa
3. Funcionem sem jq instalado

📚 Referências

• CVE-2025-55182
• Comunicado de Segurança do React
• Registro de Alterações do Next.js

---

Feito com ❤️ para a comunidade React. Fique seguro! 🛡️