CVE-2025-55182 Инструмент массового обнаружения

Эффективный инструмент массового обнаружения для уязвимости прототипного загрязнения Next.js (CVE-2025-55182).

Описание уязвимости

CVE-2025-55182 — это уязвимость прототипного загрязнения в фреймворке Next.js, позволяющая злоумышленнику выполнить произвольный код путём создания вредоносного запроса с использованием прототипного загрязнения. Уязвимость затрагивает приложения, использующие Server Actions Next.js.

Возможности

• ✅ Массовое обнаружение - Поддерживает массовый импорт активов для проверки уязвимостей
• ✅ Многопоточность - Настраиваемое количество потоков для эффективного параллельного обнаружения
• ✅ Индикатор прогресса - Отображение прогресса и статистики по уязвимостям в реальном времени
• ✅ Многоцелевое сканирование - Автоматическая проверка распространённых путей, таких как /, /apps, /signin
• ✅ Поддержка JSON-активов - Чтение файлов активов в формате JSON
• ✅ Экспорт результатов - Автоматический экспорт результатов в файл
• ✅ Автономный запуск - Возможность упаковки в exe для запуска без Python

Требования к окружению

• Python 3.8+
• Windows / Linux / macOS

Установка

Способ 1: Запуск Python-скрипта

# Клонирование репозитория
git clone https://github.com/your-username/CVE-2025-55182.git
cd CVE-2025-55182

# Создание виртуального окружения
python -m venv venv

# Активация виртуального окружения
# Windows:
venv\Scripts\activate
# Linux/macOS:
source venv/bin/activate

# Установка зависимостей
pip install requests tqdm

# Запуск
python CVE-2025-55182批量测试脚本.py

Способ 2: Использование готового exe

Просто скачайте dist/CVE-2025-55182检测工具.exe и запустите.

Использование

1. Подготовка файла активов

Создайте папку zc в том же каталоге, что и программа, и поместите в неё JSON-файлы с активами.

Формат файла активов (одна строка — один объект JSON):

{"host":"https://example.com","link":"https://example.com","title":"Example"}
{"host":"https://test.com","link":"https://test.com","title":"Test"}

Поддерживаемые поля активов:

• link - Полный URL (обязательно)
• host - Имя хоста
• title - Заголовок сайта
• ip - IP-адрес
• port - Порт

2. Запуск программы

python CVE-2025-55182批量测试脚本.py

или напрямую запустите готовый exe:

CVE-2025-55182检测工具.exe

3. Выбор файла активов

После запуска программа выведет список всех JSON-файлов в каталоге zc:

============================================================
🔍 CVE-2025-55182 Инструмент массового обнаружения уязвимостей
============================================================

============================================================
📁 Список доступных файлов активов:
============================================================
  [1] asset1.json (128.5 KB)
  [2] asset2.json (256.3 KB)
============================================================

Выберите номер файла активов (введите q для выхода): 1

4. Настройка количества потоков

Текущее количество потоков по умолчанию: 10
Введите количество потоков (просто нажмите Enter для использования значения по умолчанию): 20
✅ Количество потоков установлено: 20

5. Просмотр результатов

Прогресс: 100%|████████████████████████| 1000/1000 [05:30<00:00, 3.03/с] Уязвимости=5

✅ Обнаружение завершено! Общее время: 330.5 сек
📊 Всего проверено: 1000 | Найдено уязвимостей: 5
📄 Результаты уязвимостей экспортированы в: D:\work\vuln.txt

Принцип обнаружения

1. Формируется multipart/form-data запрос, содержащий payload прототипного загрязнения
2. Отправляется POST-запрос к цели по нескольким распространённым путям
3. Проверяется, содержит ли заголовок ответа признак выполнения команды
4. Если признак присутствует, уязвимость считается подтверждённой

Выходной файл

Результаты сохраняются в файл vuln.txt в том же каталоге, что и программа. Каждая строка содержит уязвимый URL:

https://vulnerable-site1.com/
https://vulnerable-site2.com/apps
https://vulnerable-site3.com/signin

Параметры конфигурации

В скрипте можно изменить следующие параметры:

Отказ от ответственности

Данный инструмент предназначен только для исследований в области безопасности и авторизованного тестирования. Несанкционированное тестирование с использованием этого инструмента является незаконным. Пользователь несёт всю юридическую ответственность. Автор не несёт ответственности за любое неправомерное использование.

Лицензия

MIT License

Ссылки

• Подробности уязвимости CVE-2025-55182
• Next.js Security Advisory