fix-react2shell

Una herramienta CLI para detectar y corregir la vulnerabilidad crítica CVE-2025-55182 (React2Shell) en React Server Components y aplicaciones Next.js.

La Vulnerabilidad

CVE-2025-55182 es una vulnerabilidad crítica (CVSS 10.0) de ejecución remota de código no autenticada que afecta a:

• Paquetes React Server DOM (versiones 19.0.0, 19.1.0, 19.1.1, 19.2.0)
• Next.js (versiones 14.3.0-canary.77 hasta 15.x y 16.x sin parchear)

La vulnerabilidad es un fallo de deserialización insegura en el protocolo Flight de React Server Components. La explotación solo requiere una solicitud HTTP manipulada, y existe código de explotación público disponible.

No existe solución alternativa — es necesario actualizar a una versión parcheada.

Más Información

• Aviso Oficial de React
• Aviso de Seguridad de Next.js
• Resumen de Vercel

Instalación

Opción 1: Ejecutar directamente con npx

npx @amirmalek/fix-react2shell

Opción 2: Clonar este repositorio

git clone https://github.com/amir-malek/react-cve-2025-55182.git
cd react-cve-2025-55182
node fix-react2shell.js

Opción 3: Descargar el script

curl -O https://raw.githubusercontent.com/amir-malek/react-cve-2025-55182/main/fix-react2shell.js
node fix-react2shell.js

Uso

Navega al directorio de tu proyecto React/Next.js y ejecuta:

# Dry-run mode (default) - shows what would be upgraded
npx @amirmalek/fix-react2shell

# Actually perform the upgrades
npx @amirmalek/fix-react2shell --fix

# Show detailed version information
npx @amirmalek/fix-react2shell --verbose

# Show help
npx @amirmalek/fix-react2shell --help

Ejemplo de Salida

╔══════════════════════════════════════════════════════════════╗
║        CVE-2025-55182 (React2Shell) Vulnerability Scanner    ║
╚══════════════════════════════════════════════════════════════╝

Package manager: yarn
Project: my-nextjs-app

⚠ Found 1 vulnerable package(s):

  ✗ next
    Current: 15.3.5 → Safe: 15.3.7

────────────────────────────────────────────────────────────
DRY RUN MODE - No changes made.
Run with --fix to upgrade packages.

Command that would be run:
  yarn add [email protected]

Características

• Detección Inteligente — Solo marca las versiones realmente vulnerables, no todos los proyectos de React 19
• Soporte Multi-Gestor de Paquetes — Detecta y utiliza automáticamente npm, yarn o pnpm
• Seguro por Defecto — Se ejecuta en modo de prueba (dry-run) a menos que se pase explícitamente --fix
• Cero Dependencias — Utiliza solo módulos integrados de Node.js
• Portátil — Funciona en cualquier directorio de proyecto

Versiones Vulnerables

Paquetes React Server DOM

Next.js

Después de Actualizar

Una vez que hayas parcheado tus versiones y vuelto a implementar tu aplicación, es altamente recomendable:

1. Rotar todos los secretos de la aplicación (claves API, credenciales de base de datos, secretos JWT, etc.)
2. Revisar los registros de la aplicación en busca de signos de explotación previa
3. Auditar tu infraestructura si sospechas de una comprometida

Licencia

MIT

Contribuir

Las incidencias y solicitudes de extracción son bienvenidas en github.com/amir-malek/react-cve-2025-55182.