Next.js CVE Auto-Patcher

Automatisierungstool in Go, das GitHub-Repositorys scannt, verwundbare Next.js-Versionen (CVE-2025-66478) erkennt und automatisch Pull Requests mit dem spezifischen Sicherheitspatch erstellt.

📋 Voraussetzungen

Stelle sicher, dass Folgendes in deiner Umgebung installiert und konfiguriert ist:

1. Go (1.20 oder höher)
2. Git (mit SSH-Schlüsseln, die konfiguriert und im Agenten geladen sind)
3. GitHub CLI (gh)

Authentifizierung

Bevor du das Tool ausführst, musst du in der GitHub CLI authentifiziert sein:

gh auth login
# Select "SSH" as git protocol and "GitHub.com"

🚀 Einrichtung und Installation

1. Klone dieses Repository (dorthin, wo du das main.go-Skript gespeichert hast):

   root@kitploit:~

   git clone <your-tools-repo-url>
   cd auto-patcher
   

2. Installiere Go-Abhängigkeiten: Wir benötigen die Bibliothek semver für einen intelligenten Versionsvergleich.

   root@kitploit:~

   go get github.com/Masterminds/semver/v3
   go mod tidy
   

⚙️ Konfiguration

Derzeit erfolgt die Konfiguration direkt in den Konstanten der Datei main.go. Überprüfe diese Zeilen vor der Ausführung:

• Ziel-Repo-Liste: Bearbeite in der main-Funktion den gh-Befehl, wenn du die Suche auf eine bestimmte Organisation oder einen bestimmten Benutzer einschränken möchtest:
  root@kitploit:~

  // main.go
  cmd := exec.Command("gh", "repo", "list", "YOUR_ORG_OR_USER", "--limit", "100", ...)
  

• PR-Nachrichten:
  root@kitploit:~

  const (
      TargetBranch = "fix/security-nextjs-cve"
      PRTitle      = "fix(deps): upgrade next.js to patch CVE-2025-66478"
  )
  

▶️ Verwendung

Führe einfach das Hauptskript aus:

go run main.go

Ablauf:

1. Listet Repositorys mit gh repo list auf.
2. Klont jedes Repository in einen temporären Ordner (/tmp/repo-fixer-*).
3. Sucht rekursiv nach package.json-Dateien.
4. Vergleicht die next-Version mit der Tabelle der Sicherheitsregeln (SemVer).
5. Wenn verwundbar, bearbeitet es die package.json mit der mindestens erforderlichen sicheren Version.
6. Erstellt einen Branch, committet, pusht und öffnet einen Pull Request.

⚠️ Patch-Logik (CVE-2025-66478)

Das Skript wendet strenge Regeln an, um Kompatibilitätsbrüche zu vermeiden (es aktualisiert nicht auf die neueste Version, sondern auf den sicheren Patch deiner Nebenversion):

Die vollständige Liste findest du unter nextJsRules in main.go.