React2Shell Detector

Эвристический сканер уязвимостей React Server Components (RSC) — включая поведение типа React2Shell (CVE-2025-55182)

---

Обзор

react2shell_detector.py — это безопасный, неинвазивный сканер безопасности, предназначенный для обнаружения систем, потенциально подверженных уязвимостям десериализации React Server Components (RSC) — включая проблемы класса React2Shell, затрагивающие React 19 и некоторые конфигурации сервера Next.js.

Этот инструмент не выполняет эксплуатацию, а вместо этого опирается на многосигнальный эвристический движок:

• Обнаружение функций RSC
• Снятие отпечатков заголовков и фреймворков
• Определение версии Next.js
• Поиск конечных точек RSC
• Анализ поведения дайджестов/ошибок парсера
• Зондирование RSC на стороне сервера (безопасный режим)

Он подходит для:

• Команд безопасности приложений
• Тестировщиков на проникновение
• Охотников за багами
• Систем безопасности CI/CD и SDLC
• Лабораторий исследований безопасности

---

Важное предупреждение

Этот сканер выполняет только безвредные RSC-пробы.
Используйте его только в системах, которыми вы владеете или на тестирование которых имеете явное разрешение.

Несанкционированное сканирование может нарушать законы или политики организации.

---

Возможности

• Сканирование одного URL или массовая проверка целей из списка .txt
• Многопоточное сканирование
• Экспорт в JSON для CI/дашбордов
• Обнаружение:
  • Открытие типа контента RSC
  • Отпечатки версий Next.js и React
  • Поведение конечных точек RSC
  • Аномалии дайджеста/парсера
  • Паттерны 5xx, вызванные RSC
• Оценка уверенности (low → very_high)
• Чистый интерфейс командной строки
• Предназначен для интеграции в программы AppSec

---

---

Установка

Клонируйте репозиторий:

git clone https://github.com/<yourname>/react2shell-detector.git
cd react2shell-detector

---

Использование

python react2shell_detector.py -u https://example.com

или

python react2shell_detector.py -f targets.txt

или

python react2shell_detector.py -f targets.txt -t 20