Automatisation des PR de sécurité pour React Server Components

Ce dépôt fournit un script pour mettre à jour automatiquement et créer des pull requests (PR) pour les dépôts affectés par CVE-2025-55182, qui touche les versions vulnérables de react-server-dom-* et les packages React associés.

Que fait cet outil ?

Recherche les versions affectées de react-server-dom-*, react, react-dom et next dans le package.json d'un dépôt.
Les met à jour vers des versions sécurisées et corrigées si nécessaire.
Crée une PR dans le dépôt cible avec les dépendances mises à jour.
Prend en charge à la fois les dépôts directs et les forks.

Pourquoi est-ce nécessaire ?

Une vulnérabilité de sécurité critique (CVE-2025-55182) a été divulguée dans React Server Components et les packages associés. Pour aider les mainteneurs OSS et les équipes à corriger leurs projets rapidement et en toute sécurité, ce script automatise le processus de mise à jour et de création de PR.

Packages pris en charge et correctifs

react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack → Mis à jour vers 19.2.1
react, react-dom → Mis à jour vers 19.2.1
next :
- Si vous utilisez une version canary 14.3.0-canary.77 ou supérieure, mise à jour vers 14.1.4
- 15.x/16.x mise à jour vers la dernière version corrigée (16.0.7)

Utilisation

1. Prérequis

Node.js >= 18
Un jeton d'accès personnel GitHub (classic ou fine-grained) avec les permissions repo.
Octokit (SDK d'API GitHub pour Node.js).

2. Configuration et exécution

Installez les dépendances :
```
npm install
```
Définissez votre GITHUB_TOKEN comme variable d'environnement :
```
export GITHUB_TOKEN=your_token_here
```
Modifiez le tableau repoUrls dans index.ts pour lister les dépôts GitHub que vous souhaitez corriger.
Lancez le workflow principal :
```
npm run dev
```

3. Que se passe-t-il ensuite ?

Le script analyse chaque dépôt listé à la recherche de dépendances vulnérables liées à React.
Si des mises à jour sont nécessaires, il :
- Crée une nouvelle branche.
- Effectue un commit du package.json corrigé.
- Ouvre une pull request avec un message descriptif et un lien vers la divulgation du CVE.

Exemple

Voir la fonction main() dans index.ts pour savoir comment configurer la liste des dépôts et exécuter le processus.

⚠️ Avertissement

Vérifiez et testez toujours les PR résultantes avant de les fusionner, surtout si vous avez une configuration personnalisée ou une utilisation non standard des dépendances.
Ce script ne met à jour que les versions épinglées dans le package.json racine (les monorepos peuvent nécessiter une personnalisation).
Si vous rencontrez des limites de débit ou des problèmes de permissions, vérifiez les permissions de votre jeton GitHub.

Références

Licence

Licence MIT

Pour des questions ou des contributions, veuillez ouvrir une issue ou une PR !

react-CVE-2025-55182-fixer

Populaires