fix-react2shell-next

Une seule commande pour corriger CVE-2025-66478 (RCE React 2 Shell) dans votre application Next.js / React RSC.

npx fix-react2shell-next

Incréments de version déterministes conformément aux avis officiels.

Ce qu'il fait

1. Analyse récursivement tous les fichiers package.json (gère les monorepos)
2. Vérifie la présence de versions vulnérables de :
   • next
   • react-server-dom-webpack
   • react-server-dom-parcel
   • react-server-dom-turbopack
3. Met à jour vers la version corrigée adaptée à votre version actuelle
4. Actualise votre fichier de verrouillage avec le gestionnaire de paquets détecté

Versions concernées

Next.js

Paquets React RSC

Utilisation

Vérifier et corriger (interactif)

npx fix-react2shell-next

Correction automatique (CI / non interactif)

npx fix-react2shell-next --fix

Vérification seule (essai à blanc)

npx fix-react2shell-next --dry-run

Sortie JSON (pour scripts)

npx fix-react2shell-next --json

Exemple de sortie

🔍 fix-react2shell-next - CVE-2025-66478 vulnerability scanner

📂 Found 3 package.json file(s)

🚨 Found 2 vulnerable file(s):

  📄 package.json
     next: ^15.1.0 → 15.1.9

  📄 apps/web/package.json
     next: ^15.4.3 → 15.4.8
     react-server-dom-webpack: 19.1.0 → 19.1.2

🔧 Apply fixes? [Y/n] y

🔧 Applying fixes...

   ✓ Updated package.json
   ✓ Updated apps/web/package.json

📦 Package manager: pnpm
🔄 Refreshing lockfile...

$ pnpm install

✅ Patches applied!
   Remember to test your app and commit the changes.

Prise en charge des monorepos

L'outil trouve automatiquement tous les fichiers package.json de votre projet, à l'exception de :

• node_modules
• .next, .turbo, .vercel, .nuxt
• dist, build, .output
• coverage

Fonctionne avec les workspaces npm, yarn, pnpm et bun.

Références

• Avis GitHub GHSA-9qr9-h5gf-34mp
• Avis de sécurité Next.js
• Avis de sécurité React

Licence

MIT