cve-2025-55182-mitigator

Escáner defensivo + guía de mitigación para CVE-2025-55182 (deserialización insegura del protocolo Flight / React Server Components).

Esta herramienta está diseñada para ayudarte a:

• identificar repositorios que son probablemente vulnerables según las versiones de dependencias
• aplicar rápidamente los objetivos de mitigación definitiva (parche/actualización)

Importante

• La aplicación inmediata de parches es la única mitigación definitiva.
• Esta herramienta no puede probar la explotabilidad. Utiliza heurísticas de versiones más señales del repositorio.
• Si sospechas de una compromiso, sigue tu proceso de respuesta a incidentes.

Objetivos de actualización (mitigación definitiva)

Según la guía de diciembre de 2025:

• React: 19.0.1 o 19.1.2 o 19.2.1
• Next.js: 16.0.7 o 15.5.7 o 15.4.8 o 15.3.6 o 15.2.6 o 15.1.9 o 15.0.5

Instalación

Desde este repositorio:

npm install

Ejecutar con Node:

node cli.js scan .

O instalar globalmente:

npm install -g .
cve-2025-55182 scan .

Uso

Escanear un repositorio

cve-2025-55182 scan /ruta/al/repositorio

Salida JSON:

cve-2025-55182 scan /ruta/al/repositorio --json

Código de salida compatible con CI:

cve-2025-55182 scan /ruta/al/repositorio --fail-on-vulnerable

• sale con 2 si es probablemente vulnerable
• sale con 0 si no se marca
• sale con 1 en errores

Mostrar objetivos de mitigación

cve-2025-55182 help-mitigate

Generar fragmentos de hardening opcionales

Estos no sustituyen al parcheo.

cve-2025-55182 generate --express
cve-2025-55182 generate --nginx

Qué comprueba

• rangos de dependencias en package.json para next, react, react-dom, react-server
• archivos de bloqueo para encontrar versiones resueltas:
  • package-lock.json
  • pnpm-lock.yaml
  • yarn.lock

Licencia

MIT