GitHub CVE扫描器：一键发现React与Next.js安全漏洞

// 示例输出结构
{
  "scannedUser": "exampleUser",
  "totalRepos": 42,
  "vulnerableRepos": 2,
  "vulnerabilities": [
    {
      "repo": "my-react-app",
      "url": "https://github.com/exampleUser/my-react-app",
      "cve": "CVE-2025-55182",
      "affectedPackage": "react",
      "version": "19.1.0",
      "fixedIn": ["19.1.2", "19.2.1"]
    },
    {
      "repo": "nextjs-project",
      "url": "https://github.com/exampleUser/nextjs-project",
      "cve": "CVE-2025-66478",
      "affectedPackage": "next",
      "version": "15.0.4",
      "fixedIn": ["15.0.5", "15.1.9"]
    }
  ]
}

/**
 * 将版本字符串解析为语义化版本对象
 * @param {string} versionStr - 版本字符串 (如 "19.1.0")
 * @returns {SemanticVersion|null} 解析后的版本对象或null
 */
function parseSemanticVersion(versionStr) {
  if (!versionStr || typeof versionStr !== 'string') return null;
  // 清理版本号前的特殊字符 (如 ^, ~, >=)
  const cleanStr = versionStr.replace(/[^0-9.]/g, '');
  const parts = cleanStr.split('.').map(Number);
  if (parts.length < 3 || parts.some(isNaN)) return null;
  return { major: parts[0], minor: parts[1], patch: parts[2] };
}

/**
 * 检查给定的React版本是否受CVE-2025-55182影响
 * @param {SemanticVersion} version - 要检查的版本
 * @returns {boolean} 如果易受攻击则为true
 */
function isReactVulnerableToCVE202555182(version) {
  // 精确匹配受影响的版本：19.0.0, 19.1.0, 19.1.1, 19.2.0
  const vulnerableVersions = [
    { major: 19, minor: 0, patch: 0 },
    { major: 19, minor: 1, patch: 0 },
    { major: 19, minor: 1, patch: 1 },
    { major: 19, minor: 2, patch: 0 }
  ];
  return vulnerableVersions.some(v => 
    v.major === version.major && 
    v.minor === version.minor && 
    v.patch === version.patch
  );
}

/**
 * 检查给定的Next.js版本是否受CVE-2025-66478影响
 * @param {SemanticVersion} version - 要检查的版本
 * @returns {boolean} 如果易受攻击则为true
 */
function isNextVulnerableToCVE202566478(version) {
  // 主要检查逻辑：影响15.x和16.x系列，但排除已修复的特定补丁版本
  if (version.major === 15) {
    // 15.x系列，检查是否低于安全版本
    // 逻辑简化示例：实际代码包含更复杂的范围匹配
    return version.minor >= 0 && version.patch < 5; // 示例条件
  }
  if (version.major === 16) {
    return version.minor === 0 && version.patch < 7; // 示例条件
  }
  // 检查14.3 canary版本
  if (version.major === 14 && version.minor === 3) {
    // 需检查canary版本号，此处逻辑简化
    return true;
  }
  return false;
}

/**
 * 扫描单个仓库的package.json以查找漏洞
 * @param {string} owner - 仓库所有者
 * @param {string} repo - 仓库名
 * @param {string} authToken - GitHub认证令牌
 * @returns {Promise<Array>} 发现的漏洞列表
 */
async function scanRepository(owner, repo, authToken) {
  const findings = [];
  try {
    // 构建获取package.json的URL
    const packageJsonUrl = `${GITHUB_RAW}/${owner}/${repo}/HEAD/package.json`;
    const headers = authToken ? { 'Authorization': `token ${authToken}` } : {};
    
    const response = await fetch(packageJsonUrl, { headers });
    if (!response.ok) return findings;
    
    const packageJson = await response.json();
    const deps = { ...packageJson.dependencies, ...packageJson.devDependencies };
    
    // 检查React相关包
    const reactPackages = ['react', 'react-dom', 'react-server-dom-webpack', 'react-server-dom-parcel', 'react-server-dom-turbopack'];
    for (const pkg of reactPackages) {
      if (deps[pkg]) {
        const version = parseSemanticVersion(deps[pkg]);
        if (version && isReactVulnerableToCVE202555182(version)) {
          findings.push({
            type: 'CVE-2025-55182',
            package: pkg,
            version: deps[pkg],
            repository: `${owner}/${repo}`
          });
        }
      }
    }
    
    // 检查Next.js
    if (deps['next']) {
      const version = parseSemanticVersion(deps['next']);
      if (version && isNextVulnerableToCVE202566478(version)) {
        findings.push({
          type: 'CVE-2025-66478',
          package: 'next',
          version: deps['next'],
          repository: `${owner}/${repo}`
        });
      }
    }
  } catch (error) {
    console.error(`Error scanning ${owner}/${repo}:`, error);
  }
  
  // 添加请求延迟以避免速率限制
  await new Promise(resolve => setTimeout(resolve, REQUEST_DELAY_MS));
  return findings;
}