sponte/nextjs-cve-version-confusionReproduction pour le problème de confusion de chaîne de version de Next.js CVE-2025-55182
Ce dépôt montre l'incohérence de chaîne de version dans Next.js 16.0.7+ qui prête à confusion lors de la vérification du statut du correctif CVE-2025-55182.
Après une mise à jour vers Next.js 16.0.8, les utilisateurs qui vérifient leur version de React voient 19.3.0-canary-52684925-20251110 dans React DevTools, ce qui semble être l'ancienne version vulnérable. Cependant, le correctif CVE réel est BIEN présent dans les paquets react-server-dom-*.
Installer les dépendances :
npm install
Exécuter le script de vérification des versions :
npm run check-versions
Ou démarrer le serveur de développement et vérifier React DevTools :
npm run dev
Puis ouvrir la console DevTools et exécuter :
__REACT_DEVTOOLS_GLOBAL_HOOK__.renderers.values().next()["value"]["version"]
Le script check-versions affichera :
react-server-dom-turbopack utilise 19.3.0-canary-709fe18f-20251202 ✅ (corrigé)react-server-dom-webpack utilise 19.3.0-canary-709fe18f-20251202 ✅ (corrigé)react-dom exporte la version 19.3.0-canary-52684925-20251110 ⚠️ (ancienne chaîne)react exporte la version 19.3.0-canary-52684925-20251110 ⚠️ (ancienne chaîne)Le correctif de sécurité (hasOwnProperty.call(moduleExports, metadata[2])) EST présent, mais les chaînes de version sont incohérentes.
Les équipes de sécurité et les développeurs vérifiant la correction de CVE-2025-55182 verront l'ancienne chaîne de version et croiront à tort que leurs systèmes sont toujours vulnérables. Cela crée une confusion inutile et de fausses alertes potentielles dans les audits de sécurité.