fix-react2shell

Ein CLI-Tool zur Erkennung und Behebung der kritischen CVE-2025-55182 (React2Shell)-Sicherheitslücke in React Server Components und Next.js-Anwendungen.

Die Sicherheitslücke

CVE-2025-55182 ist eine kritische (CVSS 10.0) Sicherheitslücke zur Ausführung von Remote-Code ohne Authentifizierung, die folgende betrifft:

• React Server DOM-Pakete (Versionen 19.0.0, 19.1.0, 19.1.1, 19.2.0)
• Next.js (Versionen 14.3.0-canary.77 bis zu ungepatchten 15.x und 16.x)

Die Sicherheitslücke ist ein Fehler in der unsicheren Deserialisierung im Flight-Protokoll der React Server Components. Für die Ausnutzung ist nur eine manipulierte HTTP-Anfrage erforderlich, und öffentlicher Exploit-Code ist verfügbar.

Es gibt keine Umgehungsmöglichkeit – ein Upgrade auf eine gepatchte Version ist erforderlich.

Weitere Informationen

• React Official Advisory
• Next.js Security Advisory
• Vercel Summary

Installation

Option 1: Direkt mit npx ausführen

npx @amirmalek/fix-react2shell

Option 2: Dieses Repository klonen

git clone https://github.com/amir-malek/react-cve-2025-55182.git
cd react-cve-2025-55182
node fix-react2shell.js

Option 3: Das Skript herunterladen

curl -O https://raw.githubusercontent.com/amir-malek/react-cve-2025-55182/main/fix-react2shell.js
node fix-react2shell.js

Verwendung

Navigieren Sie in Ihr React/Next.js-Projektverzeichnis und führen Sie Folgendes aus:

# Dry-Run-Modus (Standard) – zeigt, was aktualisiert würde
npx @amirmalek/fix-react2shell

# Die Aktualisierungen tatsächlich durchführen
npx @amirmalek/fix-react2shell --fix

# Detaillierte Versionsinformationen anzeigen
npx @amirmalek/fix-react2shell --verbose

# Hilfe anzeigen
npx @amirmalek/fix-react2shell --help

Beispiel-Ausgabe

╔══════════════════════════════════════════════════════════════╗
║        CVE-2025-55182 (React2Shell) Vulnerability Scanner    ║
╚══════════════════════════════════════════════════════════════╝

Package manager: yarn
Project: my-nextjs-app

⚠ Found 1 vulnerable package(s):

  ✗ next
    Current: 15.3.5 → Safe: 15.3.7

────────────────────────────────────────────────────────────
DRY RUN MODE - No changes made.
Run with --fix to upgrade packages.

Command that would be run:
  yarn add [email protected]

Funktionen

• Intelligente Erkennung – markiert nur tatsächlich anfällige Versionen, nicht alle React-19-Projekte
• Unterstützung mehrerer Paketmanager – erkennt und verwendet automatisch npm, yarn oder pnpm
• Standardmäßig sicher – läuft im Dry-Run-Modus, es sei denn, --fix wird explizit übergeben
• Keine Abhängigkeiten – verwendet nur integrierte Node.js-Module
• Portabel – funktioniert in jedem Projektverzeichnis

Anfällige Versionen

React Server DOM-Pakete

Next.js

Nach dem Upgrade

Sobald Sie Ihre Versionen aktualisiert und Ihre Anwendung erneut bereitgestellt haben, wird dringend empfohlen:

1. Alle Anwendungsgeheimnisse rotieren (API-Schlüssel, Datenbank-Anmeldedaten, JWT-Geheimnisse usw.)
2. Anwendungsprotokolle auf Anzeichen einer vorherigen Ausnutzung überprüfen
3. Ihre Infrastruktur überprüfen, falls Sie einen Kompromittierungsverdacht haben

Lizenz

MIT

Mitwirken

Issues und Pull-Requests sind willkommen unter github.com/amir-malek/react-cve-2025-55182.