Automatización de PR de Seguridad para React Server Components

Este repositorio proporciona un script para actualizar automáticamente y crear pull requests (PRs) para repositorios afectados por CVE-2025-55182, que afecta versiones vulnerables de react-server-dom-* y paquetes relacionados de React.

¿Qué hace esta herramienta?

• Escanea versiones afectadas de react-server-dom-*, react, react-dom y next en el package.json de un repositorio.
• Las actualiza a versiones seguras y corregidas si es necesario.
• Crea un PR en el repositorio objetivo con las dependencias actualizadas.
• Soporta tanto repositorios directos como forks.

¿Por qué es necesario?

Se ha revelado una vulnerabilidad de seguridad crítica (CVE-2025-55182) en React Server Components y paquetes relacionados. Para ayudar a los mantenedores de OSS y equipos a parchear sus proyectos de forma rápida y segura, este script automatiza el proceso de actualización y creación de PR.

Paquetes compatibles y correcciones

• react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack → Actualizados a 19.2.1
• react, react-dom → Actualizados a 19.2.1
• next:
  • Si usa canary 14.3.0-canary.77 o superior, actualiza a 14.1.4
  • 15.x/16.x actualiza a la última versión corregida (16.0.7)

Uso

1. Requisitos previos

• Node.js >= 18
• Un token de acceso personal de GitHub (clásico o de grano fino) con permisos repo.
• Octokit (SDK de la API de GitHub para Node.js).

2. Configurar y ejecutar

1. Instalar dependencias:

   root@kitploit:~

   npm install
   

2. Establecer GITHUB_TOKEN como variable de entorno:

   root@kitploit:~

   export GITHUB_TOKEN=tu_token_aqui
   

3. Editar el array repoUrls en index.ts para listar los repositorios de GitHub que deseas parchear.

4. Ejecutar el flujo de trabajo principal:

   root@kitploit:~

   npm run dev
   

3. ¿Qué sucede a continuación?

• El script escanea cada repositorio listado en busca de dependencias vulnerables relacionadas con React.
• Si se necesitan actualizaciones:
  • Crea una nueva rama.
  • Confirma el package.json corregido.
  • Abre un pull request con un mensaje descriptivo y un enlace a la divulgación del CVE.

Ejemplo

Consulta la función main() en index.ts para ver cómo configurar la lista de repositorios y ejecutar el proceso.

---

⚠️ Aviso

• Siempre revisa y prueba los PR resultantes antes de fusionarlos, especialmente si tienes configuración personalizada o uso de dependencias no estándar.
• Este script solo actualiza versiones fijas en el package.json raíz (los monorepos pueden requerir personalización).
• Si encuentras límites de tasa o problemas de permisos, verifica los permisos de tu token de GitHub.

---

Referencias

• Publicación del blog de seguridad de React
• Detalles de CVE-2025-55182
• Documentación de Octokit REST.js
• npm audit
• Cómo funcionan los rangos de versiones de NPM

---

Licencia

Licencia MIT

---

Para preguntas o contribuciones, ¡abre un issue o PR!