cve-2025-55182-mitigator

Scanner défensif + guide d'atténuation pour CVE-2025-55182 (Composants serveur React / protocole Flight : désérialisation non sécurisée).

Cet outil est conçu pour vous aider à :

• identifier les dépôts qui sont probablement vulnérables en fonction des versions des dépendances
• appliquer rapidement les cibles d'atténuation définitive (correctif/mise à niveau)

Important

• L'application immédiate du correctif est la seule atténuation définitive.
• Cet outil ne peut pas prouver l'exploitabilité. Il utilise des heuristiques de version et des signaux de dépôt.
• Si vous suspectez une compromission, suivez votre processus de réponse aux incidents.

Cibles de mise à niveau (atténuation définitive)

Selon les directives de décembre 2025 :

• React: 19.0.1 ou 19.1.2 ou 19.2.1
• Next.js: 16.0.7 ou 15.5.7 ou 15.4.8 ou 15.3.6 ou 15.2.6 ou 15.1.9 ou 15.0.5

Installation

Depuis ce dépôt :

npm install

Exécution via Node :

node cli.js scan .

Ou installer globalement :

npm install -g .
cve-2025-55182 scan .

Utilisation

Analyser un dépôt

cve-2025-55182 scan /path/to/repo

Sortie JSON :

cve-2025-55182 scan /path/to/repo --json

Code de sortie adapté au CI :

cve-2025-55182 scan /path/to/repo --fail-on-vulnerable

• sortie 2 si probablement vulnérable
• sortie 0 si non signalé
• sortie 1 en cas d'erreur

Afficher les cibles d'atténuation

cve-2025-55182 help-mitigate

Générer des extraits de durcissement optionnels

Ils ne remplacent pas l'application de correctifs.

cve-2025-55182 generate --express
cve-2025-55182 generate --nginx

Ce qu'il vérifie

• les plages de dépendances dans package.json pour next, react, react-dom, react-server
• les fichiers de verrouillage pour trouver les versions résolues :
  • package-lock.json
  • pnpm-lock.yaml
  • yarn.lock

Licence

MIT