Скрипт проверки уязвимости React2Shell (verify_react_vulnerability.py)

Что это за скрипт?

Это простой автономный скрипт на Python, созданный для быстрой проверки, затронут ли ваш проект критической уязвимостью React2Shell (также известной как CVE-2025-55182).

Он выполняет проверку на двух уровнях:

1. Проверка зависимостей: Анализирует ваш файл package.json на наличие известных уязвимых версий React и Next.js.
2. Комплексное сканирование кодовой базы (опционально): Если проверка зависимостей пройдена, предлагает выполнить глубокое сканирование исходного кода. Этот сканирование ищет широкий спектр признаков того, что в вашем проекте используется уязвимый набор функций React Server Components.

Что он делает?

1. Находит package.json: Ищет файл package.json в каталоге, где запущен скрипт.
2. Читает зависимости: Определяет точные версии react и next, указанные в вашем проекте.
3. Сравнивает версии: Сравнивает установленные версии со встроенным списком известных уязвимых версий.
4. Предоставляет исправление: Если обнаружена уязвимая зависимость, скрипт выводит точную команду npm install для обновления до безопасной версии.
5. Предлагает комплексное глубокое сканирование: Если зависимости выглядят безопасными, запрашивает разрешение на выполнение более глубокого анализа вашего кода. Это сканирование ищет несколько шаблонов, включая:
   • "use server"
   • "use client"
   • createSafeActionClient
   • registerServerReference
   • react-server-dom-webpack
6. Сообщает подробные результаты: Если глубокое сканирование находит какие-либо шаблоны, предоставляет подробный отчёт с объяснением значения каждого шаблона и перечисляет файлы, где они были найдены.

Как использовать

Предварительные требования

1. Python 3: Необходимо установить Python 3. Проверить можно командой python3 --version.
2. Библиотека packaging: Скрипт использует стандартную библиотеку Python для сравнения версий ПО. Если она не установлена, установите её с помощью pip:
   root@kitploit:~

   pip install packaging
   

Запуск скрипта

1. Убедитесь, что скрипт verify_react_vulnerability.py находится в корневом каталоге вашего проекта (там же, где и ваш package.json).

2. Откройте терминал и выполните команду:

   root@kitploit:~

   python3 verify_react_vulnerability.py
   

Понимание вывода

Сценарий 1: Обнаружена уязвимая зависимость

Если найдена уязвимая версия библиотеки, скрипт останавливается и немедленно сообщает о проблеме:

--- Шаг 1: Проверка версий в package.json ---
❌ УЯЗВИМОСТЬ: Найдена версия React 19.0.1.
...
-------------------------------------------------

❌ ИТОГ: Ваш проект УЯЗВИМ на основе версий зависимостей.
   Пожалуйста, немедленно обновите следующие зависимости.

--- Рекомендуемые исправления ---
npm install [email protected] [email protected]
...
-------------------------------------------------

Сценарий 2: Нет уязвимых зависимостей (с комплексным сканированием кода)

Если зависимости безопасны, скрипт предложит выполнить глубокое сканирование.

--- Шаг 1: Проверка версий в package.json ---
✅ OK: Найдена версия React 18.3.1. Не входит в известный диапазон уязвимых версий.
...
-------------------------------------------------

✅ ИНФОРМАЦИЯ: Зависимости вашего проекта, похоже, не подвержены уязвимости React2Shell.
   Однако уязвимые функции могут использоваться, если код был скопирован или 'ven'dored.
   Выполнить комплексное глубокое сканирование кода? (y/n): y

Если глубокое сканирование находит индикаторы, оно предоставит подробный отчёт:

--- Шаг 2: Выполнение комплексного глубокого сканирования кода ---
Поиск шаблонов, связанных с React Server Components...

⚠️ ПРЕДУПРЕЖДЕНИЕ: Глубокое сканирование обнаружило индикаторы использования React Server Components.
   Это не гарантирует уязвимость, но требует ручной проверки.
   Убедитесь, что версии вашего фреймворка полностью обновлены.

   - Найден шаблон '"use server"':
     Причина: Указывает, что файл содержит React Server Actions — основную функцию, связанную с уязвимостью.
     В файлах: ['src/actions/auth.ts']

   - Найден шаблон '"use client"':
     Причина: Указывает на Client Component, который может импортировать и использовать Server Actions из других файлов.
     В файлах: ['src/components/LoginButton.tsx', 'src/components/ThemeSwitcher.tsx']
-------------------------------------------------

Если глубокое сканирование ничего не находит, оно подтвердит, что ваш проект, скорее всего, безопасен:

--- Шаг 2: Выполнение комплексного глубокого сканирования кода ---
Поиск шаблонов, связанных с React Server Components...

✅ OK: Комплексное глубокое сканирование не обнаружило индикаторов использования RSC.
-------------------------------------------------