Next.js CVE-2025-55182 संस्करण भ्रम पुनरुत्पादन

यह रिपॉजिटरी Next.js 16.0.7+ में संस्करण स्ट्रिंग की विसंगति को दर्शाता है जो CVE-2025-55182 पैच स्थिति की पुष्टि करते समय भ्रम पैदा करती है।

समस्या

Next.js 16.0.8 में अपग्रेड करने के बाद, उपयोगकर्ता React DevTools में अपना React संस्करण 19.3.0-canary-52684925-20251110 देखते हैं, जो पुराना कमजोर संस्करण प्रतीत होता है। हालांकि, वास्तविक CVE फिक्स react-server-dom-* पैकेजों में मौजूद है।

पुनरुत्पादन के लिए

1. निर्भरताएँ स्थापित करें:

   root@kitploit:~

   npm install
   

2. संस्करण जांच स्क्रिप्ट चलाएँ:

   root@kitploit:~

   npm run check-versions
   

3. या dev सर्वर शुरू करें और React DevTools जांचें:

   root@kitploit:~

   npm run dev
   

   फिर DevTools कंसोल खोलें और चलाएँ:

   root@kitploit:~

   __REACT_DEVTOOLS_GLOBAL_HOOK__.renderers.values().next()["value"]["version"]
   

अपेक्षित आउटपुट

check-versions स्क्रिप्ट दिखाएगी:

• react-server-dom-turbopack 19.3.0-canary-709fe18f-20251202 का उपयोग करता है ✅ (ठीक किया गया)
• react-server-dom-webpack 19.3.0-canary-709fe18f-20251202 का उपयोग करता है ✅ (ठीक किया गया)
• react-dom 19.3.0-canary-52684925-20251110 संस्करण निर्यात करता है ⚠️ (पुरानी स्ट्रिंग)
• react 19.3.0-canary-52684925-20251110 संस्करण निर्यात करता है ⚠️ (पुरानी स्ट्रिंग)

सुरक्षा सुधार (hasOwnProperty.call(moduleExports, metadata[2])) मौजूद है, लेकिन संस्करण स्ट्रिंग्स असंगत हैं।

यह क्यों महत्वपूर्ण है

CVE-2025-55182 सुधार की पुष्टि करने वाली सुरक्षा टीमें और डेवलपर पुरानी संस्करण स्ट्रिंग देखेंगे और गलत तरीके से मानेंगे कि उनके सिस्टम अभी भी कमजोर हैं। यह अनावश्यक भ्रम और सुरक्षा ऑडिट में संभावित झूठे अलार्म पैदा करता है।