استنساخ الخلط في الإصدار CVE-2025-55182 لـ Next.js

يوضح هذا المستودع التناقض في سلسلة الإصدار في Next.js 16.0.7+ الذي يسبب ارتباكًا عند التحقق من حالة تصحيح CVE-2025-55182.

المشكلة

بعد الترقية إلى Next.js 16.0.8، يرى المستخدمون الذين يتحققون من إصدار React الخاص بهم 19.3.0-canary-52684925-20251110 في أدوات مطوري React، والذي يبدو أنه الإصدار القديم الضعيف. ومع ذلك، فإن إصلاح CVE الفعلي موجود في حزم react-server-dom-*.

لإعادة الإنتاج

1. تثبيت التبعيات:

   root@kitploit:~

   npm install
   

2. تشغيل سكريبت التحقق من الإصدار:

   root@kitploit:~

   npm run check-versions
   

3. أو بدء خادم التطوير والتحقق من أدوات مطوري React:

   root@kitploit:~

   npm run dev
   

   ثم افتح وحدة تحكم أدوات المطورين وشغّل:

   root@kitploit:~

   __REACT_DEVTOOLS_GLOBAL_HOOK__.renderers.values().next()["value"]["version"]
   

المخرجات المتوقعة

سيعرض سكريبت check-versions ما يلي:

• react-server-dom-turbopack يستخدم 19.3.0-canary-709fe18f-20251202 ✅ (تم الإصلاح)
• react-server-dom-webpack يستخدم 19.3.0-canary-709fe18f-20251202 ✅ (تم الإصلاح)
• react-dom يصدر الإصدار 19.3.0-canary-52684925-20251110 ⚠️ (سلسلة قديمة)
• react يصدر الإصدار 19.3.0-canary-52684925-20251110 ⚠️ (سلسلة قديمة)

إصلاح الأمان (hasOwnProperty.call(moduleExports, metadata[2])) موجود، لكن سلاسل الإصدار غير متسقة.

لماذا هذا مهم

سترى فرق الأمان والمطورون الذين يتحققون من معالجة CVE-2025-55182 سلسلة الإصدار القديمة ويعتقدون خطأً أن أنظمتهم لا تزال ضعيفة. هذا يخلق ارتباكًا غير ضروري وإنذارات خاطئة محتملة في عمليات تدقيق الأمان.