fix-react2shell

React Server Components और Next.js अनुप्रयोगों में गंभीर CVE-2025-55182 (React2Shell) भेद्यता का पता लगाने और उसे ठीक करने के लिए एक CLI टूल।

भेद्यता

CVE-2025-55182 एक गंभीर (CVSS 10.0) बिना प्रमाणीकरण वाली रिमोट कोड निष्पादन भेद्यता है जो निम्नलिखित को प्रभावित करती है:

• React Server DOM पैकेज (संस्करण 19.0.0, 19.1.0, 19.1.1, 19.2.0)
• Next.js (संस्करण 14.3.0-canary.77 से लेकर बिना पैच वाले 15.x और 16.x तक)

यह भेद्यता React Server Components Flight प्रोटोकॉल में एक असुरक्षित डिसीरियलाइज़ेशन दोष है। इसका शोषण करने के लिए केवल एक क्राफ्टेड HTTP अनुरोध की आवश्यकता होती है, और सार्वजनिक एक्सप्लॉइट कोड उपलब्ध है।

कोई वर्कअराउंड नहीं है — पैच किए गए संस्करण में अपग्रेड करना आवश्यक है।

अधिक जानकारी

• React आधिकारिक सलाह
• Next.js सुरक्षा सलाह
• Vercel सारांश

इंस्टॉलेशन

विकल्प 1: सीधे npx के साथ चलाएँ

npx @amirmalek/fix-react2shell

विकल्प 2: इस रिपॉज़िटरी को क्लोन करें

git clone https://github.com/amir-malek/react-cve-2025-55182.git
cd react-cve-2025-55182
node fix-react2shell.js

विकल्प 3: स्क्रिप्ट डाउनलोड करें

curl -O https://raw.githubusercontent.com/amir-malek/react-cve-2025-55182/main/fix-react2shell.js
node fix-react2shell.js

उपयोग

अपनी React/Next.js प्रोजेक्ट निर्देशिका पर जाएँ और चलाएँ:

# Dry-run mode (default) - shows what would be upgraded
npx @amirmalek/fix-react2shell

# Actually perform the upgrades
npx @amirmalek/fix-react2shell --fix

# Show detailed version information
npx @amirmalek/fix-react2shell --verbose

# Show help
npx @amirmalek/fix-react2shell --help

उदाहरण आउटपुट

╔══════════════════════════════════════════════════════════════╗
║        CVE-2025-55182 (React2Shell) Vulnerability Scanner    ║
╚══════════════════════════════════════════════════════════════╝

Package manager: yarn
Project: my-nextjs-app

⚠ Found 1 vulnerable package(s):

  ✗ next
    Current: 15.3.5 → Safe: 15.3.7

────────────────────────────────────────────────────────────
DRY RUN MODE - No changes made.
Run with --fix to upgrade packages.

Command that would be run:
  yarn add [email protected]

विशेषताएँ

• स्मार्ट डिटेक्शन — केवल वास्तव में असुरक्षित संस्करणों को फ़्लैग करता है, सभी React 19 प्रोजेक्टों को नहीं
• मल्टी-पैकेज मैनेजर सपोर्ट — स्वचालित रूप से npm, yarn, या pnpm का पता लगाता है और उपयोग करता है
• डिफ़ॉल्ट रूप से सुरक्षित — जब तक --fix स्पष्ट रूप से पास न किया जाए, ड्राई-रन मोड में चलता है
• शून्य निर्भरताएँ — केवल Node.js बिल्ट-इन मॉड्यूल का उपयोग करता है
• पोर्टेबल — किसी भी प्रोजेक्ट निर्देशिका में काम करता है

असुरक्षित संस्करण

React Server DOM पैकेज

पैकेज	असुरक्षित	सुरक्षित
react-server-dom-webpack	19.0.0, 19.1.0, 19.1.1, 19.2.0	19.0.1, 19.1.2, 19.2.1
react-server-dom-parcel	19.0.0, 19.1.0, 19.1.1, 19.2.0	19.0.1, 19.1.2, 19.2.1
react-server-dom-turbopack	19.0.0, 19.1.0, 19.1.1, 19.2.0	19.0.1, 19.1.2, 19.2.1

Next.js

ब्रांच	सुरक्षित संस्करण
15.0.x	15.0.5
15.1.x	15.1.9
15.2.x	15.2.6
15.3.x	15.3.6
15.4.x	15.4.8
15.5.x	15.5.7
16.0.x	16.0.7

अपग्रेड करने के बाद

एक बार जब आप अपने संस्करणों को पैच कर लें और अपने एप्लिकेशन को फिर से डिप्लॉय कर लें, तो दृढ़ता से अनुशंसा की जाती है कि:

1. सभी एप्लिकेशन सीक्रेट्स को बदलें (API कुंजियाँ, डेटाबेस क्रेडेंशियल, JWT सीक्रेट्स, आदि)
2. पिछले शोषण के किसी भी संकेत के लिए एप्लिकेशन लॉग की समीक्षा करें
3. यदि आपको समझौते का संदेह है तो अपने इंफ्रास्ट्रक्चर का ऑडिट करें

लाइसेंस

MIT

योगदान

इस्यूज़ और पुल रिक्वेस्ट का स्वागत है github.com/amir-malek/react-cve-2025-55182 पर।