Сканер уязвимости React CVE-2025-55182

Bash-скрипт для сканирования вашего сервера на наличие React-приложений, уязвимых к CVE-2025-55182 — критической уязвимости удалённого выполнения кода (CVSS 10.0) в React Server Components.

⚠️ Об уязвимости

3 декабря 2025 года команда React раскрыла информацию о критической уязвимости безопасности, затрагивающей React Server Components. Неаутентифицированный злоумышленник может использовать недостаток в том, как React декодирует полезные нагрузки, отправляемые на конечные точки React Server Function, чтобы добиться удалённого выполнения кода.

Затронутые пакеты:

• react-server-dom-webpack версии 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-parcel версии 19.0.0, 19.1.0, 19.1.1, 19.2.0
• react-server-dom-turbopack версии 19.0.0, 19.1.0, 19.1.1, 19.2.0

Исправленные версии: 19.0.1, 19.1.2, 19.2.1

📖 Официальный пост в блоге React

🚀 Быстрый старт

Установка и запуск одной командой

curl -sSL https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh | sudo bash

Ручная установка

# Download
curl -O https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh

# Make executable
chmod +x scan-react-vuln.sh

# Run with sudo for full system scan
sudo ./scan-react-vuln.sh

Установка для всей системы

sudo curl -o /usr/local/bin/scan-react-vuln https://raw.githubusercontent.com/umairahmadh/react-vuln-scanner/main/scan-react-vuln.sh
sudo chmod +x /usr/local/bin/scan-react-vuln

# Now run from anywhere
sudo scan-react-vuln

📋 Что сканирует скрипт

Скрипт сканирует следующие расположения на предмет React-приложений:

Исключения (для снижения ложных срабатываний)

• каталоги node_modules/
• каталоги .cache/, .npm/, .pnpm/
• каталоги WordPress (wp-content/, wp-includes/, plugins/, themes/)

🎨 Вывод

Сканер выдаёт вывод с цветовой кодировкой:

• 🔴 [VULNERABLE] — В приложении установлены уязвимые пакеты RSC
• 🟢 [SAFE] — В приложении есть React, но нет уязвимых пакетов
• 🟡 [UPDATE RECOMMENDED] — Версия React, которая может быть затронута

Пример вывода

============================================================
  React CVE-2025-55182 Vulnerability Scanner
  Critical: Remote Code Execution (CVSS 10.0)
============================================================

Scanning for React applications...

Scanning: /home/deploy (owner: deploy)
[VULNERABLE] my-nextjs-app
  Path: /home/deploy/my-nextjs-app
  Owner: deploy
    - [email protected] (VULNERABLE)
    - [email protected] (UPDATE RECOMMENDED)

[SAFE] my-react-spa
  Path: /home/deploy/my-react-spa
  Owner: deploy
    - [email protected]

============================================================
  SCAN COMPLETE
============================================================

🔧 Требования

• Bash 4.0+ (для ассоциативных массивов)
• Linux/macOS (использует find, grep, sed)
• Необязательно: jq для более надёжного разбора JSON

Проверьте версию bash:

bash --version

🛠️ Исправление уязвимостей

Если сканер обнаружил уязвимые приложения, немедленно обновите их:

Обычные React-приложения

npm install react@latest react-dom@latest
npm install react-server-dom-webpack@latest

Next.js

npm install [email protected]   # or latest in your release line

React Router (с RSC)

npm install react@latest react-dom@latest react-server-dom-parcel@latest

Waku

npm install react@latest react-dom@latest react-server-dom-webpack@latest waku@latest

🔒 Примечания по безопасности

• Запускайте с sudo, чтобы просканировать все пользовательские каталоги
• Скрипт работает только на чтение и не изменяет никакие файлы
• Код возврата 0 = уязвимости не найдены
• Код возврата 1 = обнаружены уязвимости (полезно для CI/CD)

📄 Лицензия

Лицензия MIT — можно свободно использовать, изменять и распространять.

🤝 Участие в проекте

Пулл-реквесты приветствуются! Пожалуйста, убедитесь, что любые изменения:

1. Не создают ложных срабатываний
2. Сохраняют обратную совместимость
3. Работают без установленного jq

📚 Ссылки

• CVE-2025-55182
• Рекомендации по безопасности React
• Журнал изменений Next.js

Сделано с ❤️ для сообщества React. Оставайтесь в безопасности! 🛡️