Next.js 版本漏洞扫描器 (by nocomp)

概述

本 Python 脚本是一个综合性工具，用于扫描多个子域名以检测 Next.js 版本，并识别潜在的 CVE-2025-29927 漏洞。它针对不同子域名上基于 Next.js 构建的 Web 应用提供详细分析。 更多关于该 CVE 的信息：https://nextjs.org/blog/cve-2025-29927

功能特性

• 🔍 使用多种方法进行子域名枚举
• 🕵️ Next.js 版本检测
• 🚨 针对特定 Next.js 版本的漏洞评估
• 📋 带颜色编码结果的详细报告
• 🌐 支持多种协议和端口

先决条件

使用脚本前，请确保已安装以下软件：

系统依赖

• Python 3.7+
• subfinder（用于子域名枚举）
• dig（DNS 查询工具）
• host（DNS 查询工具）

Python 依赖

pip install requests termcolor

安装

1. 克隆仓库：

git clone https://github.com/yourusername/nextjs-version-checker.git
cd nextjs-version-checker

2. 安装 Python 依赖：

pip install -r requirements.txt

使用方法

基本扫描

python next-js-version-checker.py -s example.com

命令行参数

• -s 或 --subdomain：（必需）要扫描的主域名

输出结果

脚本提供多种输出：

1. 控制台输出

   • 🟢 绿色：安全的 Next.js 版本
   • 🔴 红色：存在漏洞的 Next.js 版本
   • 🟡 黄色：未检测到 Next.js 版本

2. 生成的文件

   • example.com_subdomains.txt：发现的子域名列表
   • example.com_nextjs_results.txt：详细的扫描结果

漏洞检测

脚本检查以下漏洞范围内的 Next.js 版本：

• >11.1.4 <=13.5.6
• >14.0 <14.2.25
• >15.0 <15.2.3

安全注意事项

⚠️ 警告：

• 脚本会绕过 SSL 证书验证
• 仅在可控且授权的环境中使用
• 扫描前务必获得适当授权

故障排除

1. 确保所有依赖已安装
2. 检查网络连接
3. 确认域名可访问
4. 如需，使用 sudo/管理员权限运行

贡献

欢迎贡献！请：

• Fork 仓库
• 创建功能分支
• 提交 Pull Request

许可

随意使用

免责声明

本工具仅用于教育和授权的安全测试目的。未经授权扫描系统是不道德且可能违法的。