fix-react2shell

Un outil CLI pour détecter et corriger la vulnérabilité critique CVE-2025-55182 (React2Shell) dans les composants serveur React et les applications Next.js.

La vulnérabilité

CVE-2025-55182 est une vulnérabilité critique (CVSS 10.0) d'exécution de code à distance sans authentification affectant :

• Packages React Server DOM (versions 19.0.0, 19.1.0, 19.1.1, 19.2.0)
• Next.js (versions 14.3.0-canary.77 jusqu'aux versions non corrigées 15.x et 16.x)

La vulnérabilité est un défaut de désérialisation non sécurisée dans le protocole Flight des composants serveur React. L'exploitation nécessite seulement une requête HTTP malveillante, et un code d'exploitation public est disponible.

Il n'existe pas de solution de contournement — une mise à niveau vers une version corrigée est nécessaire.

Plus d'informations

• Avis officiel de React
• Avis de sécurité Next.js
• Résumé de Vercel

Installation

Option 1 : Exécuter directement avec npx

npx @amirmalek/fix-react2shell

Option 2 : Cloner ce dépôt

git clone https://github.com/amir-malek/react-cve-2025-55182.git
cd react-cve-2025-55182
node fix-react2shell.js

Option 3 : Télécharger le script

curl -O https://raw.githubusercontent.com/amir-malek/react-cve-2025-55182/main/fix-react2shell.js
node fix-react2shell.js

Utilisation

Naviguez vers le répertoire de votre projet React/Next.js et exécutez :

# Mode dry-run (par défaut) - montre ce qui serait mis à niveau
npx @amirmalek/fix-react2shell

# Effectuer réellement les mises à niveau
npx @amirmalek/fix-react2shell --fix

# Afficher les informations détaillées de version
npx @amirmalek/fix-react2shell --verbose

# Afficher l'aide
npx @amirmalek/fix-react2shell --help

Exemple de sortie

╔══════════════════════════════════════════════════════════════╗
║        CVE-2025-55182 (React2Shell) Scanner de vulnérabilités ║
╚══════════════════════════════════════════════════════════════╝

Gestionnaire de paquets : yarn
Projet : my-nextjs-app

⚠ 1 paquet vulnérable trouvé(s) :

  ✗ next
    Actuel : 15.3.5 → Sûr : 15.3.7

────────────────────────────────────────────────────────────
MODE DRY RUN - Aucune modification effectuée.
Exécutez avec --fix pour mettre à niveau les paquets.

Commande qui serait exécutée :
  yarn add [email protected]

Fonctionnalités

• Détection intelligente — Ne signale que les versions réellement vulnérables, pas tous les projets React 19
• Support multi-gestionnaire de paquets — Détecte et utilise automatiquement npm, yarn ou pnpm
• Sûr par défaut — S'exécute en mode dry-run sauf si --fix est explicitement passé
• Zéro dépendance — Utilise uniquement les modules intégrés de Node.js
• Portable — Fonctionne dans n'importe quel répertoire de projet

Versions vulnérables

Packages React Server DOM

Next.js

Après la mise à niveau

Une fois que vous avez corrigé vos versions et redéployé votre application, il est fortement recommandé de :

1. Renouveler tous les secrets de l'application (clés API, identifiants de base de données, secrets JWT, etc.)
2. Examiner les journaux de l'application pour tout signe d'exploitation antérieure
3. Auditer votre infrastructure si vous suspectez une compromission

Licence

MIT

Contribuer

Les issues et les pull requests sont les bienvenus sur github.com/amir-malek/react-cve-2025-55182.