React2Shell 漏洞检测器

CVE-2025-55182 检测工具，适用于 Ubuntu Linux 和 Windows 10/11

描述

该工具通过检查以下内容来检测 React 项目中潜在的 React2Shell 漏洞（CVE-2025-55182）：

• package.json 文件和锁定文件中是否存在易受攻击的包
• node_modules 目录中是否存在受影响的依赖
• 被动检查 URL 以进行远程检测

重要说明： 此工具仅用于检测（本地和被动检查 URL）——不包含漏洞利用代码或利用漏洞的步骤。

检查的包

该工具将检查是否存在以下包：

• react-server-dom-webpack
• react-server-dom-parcel
• react-server-dom-turbopack
• react（版本 19.x.x——因为可能涉及该漏洞）

已修补版本

如果发现漏洞，请务必升级到以下已修补版本：

• react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopack：版本 19.0.1、19.1.2 或 19.2.1

安装

Ubuntu Linux

# 创建虚拟环境（可选但建议）
python3 -m venv venv
source venv/bin/activate  # 激活虚拟环境

# 安装依赖
pip install -r requirements.txt

# 或者使用安装脚本
chmod +x install_linux.sh
./install_linux.sh

Windows 10/11

# 以管理员身份打开命令提示符
# 安装依赖
pip install -r requirements.txt

# 或者使用安装脚本
install_windows.bat

跨平台安装

# 适用于 Ubuntu Linux
python3 install_cross_platform.py

# 适用于 Windows 10/11
python install_cross_platform.py

使用方法

本地检查

# 扫描本地项目
python3 react2shell_checker.py --path /path/to/your/project

# 在 Windows 上
python react2shell_checker.py --path C:\path\to\your\project

URL 检查

# 被动检查 URL
python3 react2shell_checker.py --url https://your-site.example

# 在 Windows 上
python react2shell_checker.py --url https://your-site.example

输出示例

如果安全

[INFO] Scanning path: /path/to/your/project
[INFO] Found package.json: /path/to/your/project/package.json
[SAFE] No vulnerabilities detected!

如果发现漏洞

[INFO] Scanning path: /path/to/your/project
[INFO] Found package.json: /path/to/your/project/package.json
[WARNING] Found potential vulnerabilities:
  - [email protected]
  - [email protected]

[RECOMMENDATION] If any vulnerabilities are found, upgrade to patched versions:
  - For react-server-dom-* packages: 19.0.1, 19.1.2, or 19.2.1
  - For react: Upgrade to a patched version >= 19.x.x if needed

附加功能

• 检测多种锁定文件格式（package-lock.json、yarn.lock、pnpm-lock.yaml）
• 在子目录中递归查找 package.json 文件
• 被动检查 URL 以检测 React 应用
• 支持多种版本表示法（^、~、>=、<=）
• 直观的命令行界面

系统要求

• Python 3.6 或更高版本
• Python 模块：requests、packaging
• 对项目文件的读取权限（package.json、node_modules 等）

许可证

此工具作为安全检测工具提供，旨在帮助开发者识别和修复其项目中的漏洞。请根据您所在组织的安全策略负责任地使用。