TanStack Router CVE 扫描器

一款用于检测您项目中 TanStack Router CVE | TanStack Router GHSA 的安全扫描工具。

概述

该工具会扫描您的代码库，查找 TanStack Router 漏洞（CVE-2026-45321 / GHSA-g7cv-rxg3-hmpx）的迹象。该漏洞影响特定版本的 TanStack Router 软件包。它可以检测：

• 可能包含恶意代码的 router_init.js 文件
• package.json 中可疑的可选依赖项
• 已知存在漏洞的软件包版本
• 锁定文件（package-lock.json、pnpm-lock.yaml、yarn.lock）中存在漏洞的版本
• npm 日志中的相关条目

已知存在漏洞的版本

以下软件包版本被标记为存在漏洞：

风险等级

• HIGH：在 package.json/锁定文件中发现 router_init.js、可疑的可选依赖项或存在漏洞的版本
• MEDIUM：仅在 npm 日志中发现相关条目
• LOW：未发现任何迹象

安装

macOS

1. 打开终端
2. 进入您的项目目录：
   root@kitploit:~

   cd /path/to/your/project
   

3. 运行扫描器（请参阅下面的“用法”部分）

Windows

1. 打开命令提示符或 PowerShell
2. 进入您的项目目录：
   root@kitploit:~

   cd C:\path\to\your\project
   

3. 运行扫描器（请参阅下面的“用法”部分）

Linux

1. 打开终端
2. 进入您的项目目录：
   root@kitploit:~

   cd /path/to/your/project
   

3. 运行扫描器（请参阅下面的“用法”部分）

用法

基本用法

扫描当前目录：

node scan.js

扫描指定文件夹：

node scan.js /path/to/your/project

扫描主目录：

node scan.js ~

将输出保存到 JSON 文件

macOS / Linux：

node scan.js ~/your-project > scan-result.json

Windows（命令提示符）：

node scan.js C:\Users\YourName\your-project > scan-result.json

Windows（PowerShell）：

node scan.js C:\Users\YourName\your-project | Out-File -FilePath scan-result.json

示例工作流

扫描单个项目：

cd /Users/username/my-react-app
node scan.js . > result.json
cat result.json

扫描整个系统（macOS/Linux）：

node scan.js ~ > full-scan.json

使用 jq 进行扫描（macOS/Linux）— 仅过滤出风险等级：

node scan.js . | jq -r '.risk'

输出格式

扫描器输出具有以下结构的 JSON：

{
  "scannedRoot": "/path/to/scanned/directory",
  "risk": "HIGH|MEDIUM|LOW",
  "summary": {
    "routerInit": 0,
    "optionalDeps": 0,
    "badPackageVersions": 0,
    "badLockVersions": 0,
    "npmLogs": 0,
    "errors": 0
  },
  "findings": {
    "routerInit": [],
    "optionalDeps": [],
    "badPackageVersions": [],
    "badLockVersions": [],
    "npmLogs": [],
    "errors": []
  }
}

跳过的目录

扫描器会自动跳过以下目录以提高性能：

• .git
• .next
• .nuxt
• .turbo
• .cache
• .DS_Store
• dist
• build
• coverage
• .yarn

大于 5MB 的文件也会被跳过。

如果存在漏洞该怎么办

如果扫描器报告 HIGH 风险：

1. 立即检查受影响的 package.json 文件
2. 将存在漏洞的软件包更新到最新的安全版本
3. 删除任何可疑的 router_init.js 文件
4. 全新安装依赖项：
   root@kitploit:~

   rm -rf node_modules package-lock.json
   npm install
   

5. 检查您的锁定文件中是否存在任何恶意配置
6. 如果发现被利用的证据，请报告该漏洞

其他资源

• TanStack Router GitHub
• NVD CVE-2026-45321
• 安全公告