Сканер уязвимостей версий Next.js от nocomp

Обзор

Этот Python-скрипт — комплексный инструмент для сканирования множества поддоменов с целью определения версий Next.js и выявления потенциальных уязвимостей CVE-2025-29927. Он предоставляет детальный анализ веб-приложений, созданных на Next.js, на различных поддоменах. Подробнее об уязвимости: https://nextjs.org/blog/cve-2025-29927

Возможности

• 🔍 Перебор поддоменов с использованием нескольких методов
• 🕵️ Определение версии Next.js
• 🚨 Оценка уязвимости для конкретных версий Next.js
• 📋 Подробные отчёты с цветовой кодировкой результатов
• 🌐 Поддержка нескольких протоколов и портов

Предварительные требования

Перед использованием скрипта убедитесь, что у вас установлено следующее:

Системные зависимости

• Python 3.7+
• subfinder (для перебора поддоменов)
• dig (утилита поиска DNS)
• host (утилита поиска DNS)

Зависимости Python

pip install requests termcolor

Установка

1. Клонируйте репозиторий:

git clone https://github.com/yourusername/nextjs-version-checker.git
cd nextjs-version-checker

2. Установите зависимости Python:

pip install -r requirements.txt

Использование

Базовое сканирование

python next-js-version-checker.py -s example.com

Аргументы командной строки

• -s или --subdomain: (обязательный) Основной домен для сканирования

Вывод

Скрипт предоставляет несколько результатов:

1. Вывод в консоль

   • 🟢 Зелёный: безопасная версия Next.js
   • 🔴 Красный: уязвимая версия Next.js
   • 🟡 Жёлтый: версия Next.js не обнаружена

2. Создаваемые файлы

   • example.com_subdomains.txt: список обнаруженных поддоменов
   • example.com_nextjs_results.txt: подробные результаты сканирования

Обнаружение уязвимостей

Скрипт проверяет версии Next.js в следующих уязвимых диапазонах:

• >11.1.4 <=13.5.6
• >14.0 <14.2.25
• >15.0 <15.2.3

Замечания по безопасности

⚠️ Внимание:

• Скрипт обходит проверку SSL-сертификатов
• Используйте только в контролируемых, авторизованных средах
• Всегда получайте соответствующие разрешения перед сканированием

Устранение неполадок

1. Убедитесь, что все зависимости установлены
2. Проверьте сетевое подключение
3. Проверьте доступность домена
4. При необходимости запустите с правами sudo/администратора

Участие в разработке

Ваш вклад приветствуется! Пожалуйста:

• Сделайте форк репозитория
• Создайте ветку для новой функции
• Отправьте pull request

Лицензия

Используйте свободно

Отказ от ответственности

Этот инструмент предназначен только для образовательного и авторизованного тестирования безопасности. Несанкционированное сканирование систем неэтично и потенциально незаконно.