fix-react2shell

أداة سطر أوامر لاكتشاف وإصلاح الثغرة الحرجة CVE-2025-55182 (React2Shell) في مكونات خادم React وتطبيقات Next.js.

الثغرة

CVE-2025-55182 هي ثغرة حرجة (CVSS 10.0) لتنفيذ التعليمات البرمجية عن بُعد دون مصادقة تؤثر على:

• حزم React Server DOM (الإصدارات 19.0.0, 19.1.0, 19.1.1, 19.2.0)
• Next.js (الإصدارات 14.3.0-canary.77 حتى الإصدارات غير المصححة 15.x و 16.x)

الثغرة هي خلل في إلغاء التسلسل غير الآمن في بروتوكول Flight لمكونات خادم React. يتطلب الاستغلال فقط طلب HTTP مصمم خصيصًا، وكود استغلال عام متاح.

لا يوجد حل بديل — الترقية إلى إصدار مصحح مطلوبة.

مزيد من المعلومات

• الإعلان الرسمي من React
• الإعلان الأمني من Next.js
• ملخص Vercel

التثبيت

الخيار 1: التشغيل مباشرة مع npx

npx @amirmalek/fix-react2shell

الخيار 2: استنساخ هذا المستودع

git clone https://github.com/amir-malek/react-cve-2025-55182.git
cd react-cve-2025-55182
node fix-react2shell.js

الخيار 3: تنزيل البرنامج النصي

curl -O https://raw.githubusercontent.com/amir-malek/react-cve-2025-55182/main/fix-react2shell.js
node fix-react2shell.js

الاستخدام

انتقل إلى دليل مشروع React/Next.js الخاص بك وقم بتشغيل:

# Dry-run mode (default) - shows what would be upgraded
npx @amirmalek/fix-react2shell

# Actually perform the upgrades
npx @amirmalek/fix-react2shell --fix

# Show detailed version information
npx @amirmalek/fix-react2shell --verbose

# Show help
npx @amirmalek/fix-react2shell --help

مثال على الإخراج

╔══════════════════════════════════════════════════════════════╗
║        CVE-2025-55182 (React2Shell) Vulnerability Scanner    ║
╚══════════════════════════════════════════════════════════════╝

Package manager: yarn
Project: my-nextjs-app

⚠ Found 1 vulnerable package(s):

  ✗ next
    Current: 15.3.5 → Safe: 15.3.7

────────────────────────────────────────────────────────────
DRY RUN MODE - No changes made.
Run with --fix to upgrade packages.

Command that would be run:
  yarn add [email protected]

الميزات

• كشف ذكي — لا يحدد إلا الإصدارات الضعيفة فعليًا، وليس جميع مشاريع React 19
• دعم مدير حزم متعدد — يكتشف تلقائيًا ويستخدم npm أو yarn أو pnpm
• آمن افتراضيًا — يعمل في وضع التشغيل التجريبي ما لم يتم تمرير --fix صراحة
• صفر تبعيات — يستخدم فقط وحدات Node.js المدمجة
• قابل للنقل — يعمل في أي دليل مشروع

الإصدارات الضعيفة

حزم React Server DOM

Next.js

بعد الترقية

بمجرد أن تقوم بتصحيح إصداراتك وإعادة نشر تطبيقك، يُوصى بشدة بما يلي:

1. تدوير جميع أسرار التطبيق (مفاتيح API، بيانات اعتماد قاعدة البيانات، أسرار JWT، إلخ.)
2. مراجعة سجلات التطبيق بحثًا عن أي علامات على استغلال سابق
3. تدقيق البنية التحتية الخاصة بك إذا كنت تشتبه في اختراق

الرخصة

MIT

المساهمة

نرحب بالمشكلات وطلبات السحب على github.com/amir-malek/react-cve-2025-55182