أتمتة طلبات السحب (PRs) لأمان مكونات خادم React

يوفر هذا المستودع سكريبتًا لزيادة الإصدارات تلقائيًا وإنشاء طلبات سحب (PRs) للمستودعات المتأثرة بـ CVE-2025-55182، والتي تؤثر على الإصدارات الضعيفة من حزم react-server-dom-* وحزم React ذات الصلة.

ما الذي تفعله هذه الأداة؟

• تفحص الإصدارات المتأثرة من react-server-dom-*، وreact، وreact-dom، وnext في ملف package.json بالمستودع.
• ترفعها إلى إصدارات آمنة ومثبتة إذا لزم الأمر.
• تنشئ طلب سحب (PR) في المستودع المستهدف مع التبعيات المحدّثة.
• تدعم كلاً من المستودعات المباشرة والفروع (forks).

لماذا نحتاج إلى هذا؟

تم الكشف عن ثغرة أمنية خطيرة (CVE-2025-55182) في مكونات خادم React والحزم ذات الصلة. لمساعدة المشرفين والفرق على تصحيح مشاريعهم بسرعة وأمان، يقوم هذا السكريبت بأتمتة عملية الترقية وإنشاء طلبات السحب.

الحزم المدعومة والإصلاحات

• react-server-dom-webpack، react-server-dom-parcel، react-server-dom-turbopack → تمت الترقية إلى 19.2.1
• react، react-dom → تمت الترقية إلى 19.2.1
• next:
  • إذا كنت تستخدم الإصدار التجريبي 14.3.0-canary.77 أو أحدث، يتم الرفع إلى 14.1.4
  • 15.x/16.x يتم الترقية إلى أحدث إصدار مصحح (16.0.7)

الاستخدام

1. المتطلبات الأساسية

• Node.js >= 18
• رمز وصول شخصي من GitHub (كلاسيكي أو دقيق) مع صلاحيات repo.
• Octokit (واجهة برمجة تطبيقات GitHub API لـ Node.js).

2. التهيئة والتشغيل

1. تثبيت التبعيات:

   root@kitploit:~

   npm install
   

2. تعيين متغير البيئة GITHUB_TOKEN:

   root@kitploit:~

   export GITHUB_TOKEN=your_token_here
   

3. عدّل مصفوفة repoUrls في ملف index.ts لتضمين مستودعات GitHub التي ترغب في تصحيحها.

4. قم بتشغيل سير العمل الرئيسي:

   root@kitploit:~

   npm run dev
   

3. ماذا يحدث بعد ذلك؟

• يقوم السكريبت بفحص كل مستودع مدرج بحثًا عن تبعيات React ضعيفة.
• إذا كانت الترقيات ضرورية، فإنه:
  • ينشئ فرعًا جديدًا.
  • يضبط ملف package.json المصلح.
  • يفتح طلب سحب (PR) برسالة وصفية ورابط إلى الإفصاح عن الثغرة.

مثال

راجع الدالة main() في index.ts لمعرفة كيفية تهيئة قائمة المستودعات وتشغيل العملية.

---

⚠️ إخلاء مسؤولية

• راجع واختبر دائمًا طلبات السحب الناتجة قبل دمجها، خاصة إذا كان لديك إعدادات مخصصة أو استخدام تبعيات غير قياسي.
• هذا السكريبت يرفع فقط الإصدارات المثبتة في ملف package.json الجذر (قد تحتاج المستودعات متعددة الحزم إلى تخصيص).
• إذا واجهت حدودًا للمعدل أو مشاكل في الأذونات، تحقق من أذونات رمز GitHub الخاص بك.

---

المراجع

• تدوينة أمان React الرسمية
• تفاصيل CVE-2025-55182
• وثائق Octokit REST.js
• npm audit
• كيف تعمل نطاقات إصدارات NPM

---

الترخيص

رخصة MIT

---

للاستفسارات أو المساهمات، يرجى فتح مشكلة (issue) أو طلب سحب (PR)!