fix-react2shell

Uno strumento CLI per rilevare e correggere la vulnerabilità critica CVE-2025-55182 (React2Shell) nei componenti React Server Components e nelle applicazioni Next.js.

La vulnerabilità

CVE-2025-55182 è una vulnerabilità critica (CVSS 10.0) di esecuzione remota di codice non autenticata che interessa:

• Pacchetti React Server DOM (versioni 19.0.0, 19.1.0, 19.1.1, 19.2.0)
• Next.js (versioni 14.3.0-canary.77 fino alle 15.x e 16.x non corrette)

La vulnerabilità è un difetto di deserializzazione non sicura nel protocollo Flight di React Server Components. Lo sfruttamento richiede solo una richiesta HTTP appositamente predisposta e il codice di exploit pubblico è disponibile.

Non esiste una soluzione alternativa: è necessario aggiornare a una versione corretta.

Ulteriori informazioni

• Advisory ufficiale di React
• Advisory di sicurezza di Next.js
• Riepilogo di Vercel

Installazione

Opzione 1: Esegui direttamente con npx

npx @amirmalek/fix-react2shell

Opzione 2: Clona questo repository

git clone https://github.com/amir-malek/react-cve-2025-55182.git
cd react-cve-2025-55182
node fix-react2shell.js

Opzione 3: Scarica lo script

curl -O https://raw.githubusercontent.com/amir-malek/react-cve-2025-55182/main/fix-react2shell.js
node fix-react2shell.js

Utilizzo

Spostati nella directory del tuo progetto React/Next.js ed esegui:

# Dry-run mode (default) - shows what would be upgraded
npx @amirmalek/fix-react2shell

# Actually perform the upgrades
npx @amirmalek/fix-react2shell --fix

# Show detailed version information
npx @amirmalek/fix-react2shell --verbose

# Show help
npx @amirmalek/fix-react2shell --help

Esempio di output

╔══════════════════════════════════════════════════════════════╗
║        CVE-2025-55182 (React2Shell) Vulnerability Scanner    ║
╚══════════════════════════════════════════════════════════════╝

Package manager: yarn
Project: my-nextjs-app

⚠ Found 1 vulnerable package(s):

  ✗ next
    Current: 15.3.5 → Safe: 15.3.7

────────────────────────────────────────────────────────────
DRY RUN MODE - No changes made.
Run with --fix to upgrade packages.

Command that would be run:
  yarn add [email protected]

Caratteristiche

• Rilevamento intelligente — Segnala solo le versioni realmente vulnerabili, non tutti i progetti React 19
• Supporto multi-package manager — Rileva e utilizza automaticamente npm, yarn o pnpm
• Sicuro per impostazione predefinita — Viene eseguito in modalità dry-run a meno che non venga passato esplicitamente --fix
• Zero dipendenze — Usa solo i moduli integrati di Node.js
• Portabile — Funziona in qualsiasi directory di progetto

Versioni vulnerabili

Pacchetti React Server DOM

Next.js

Dopo l'aggiornamento

Dopo aver corretto le versioni e ridistribuito l'applicazione, è fortemente consigliato di:

1. Ruotare tutti i segreti dell'applicazione (chiavi API, credenziali del database, segreti JWT, ecc.)
2. Esaminare i log dell'applicazione per verificare eventuali segni di sfruttamento precedente
3. Eseguire un audit dell'infrastruttura se si sospetta una compromissione

Licenza

MIT

Contributi

Issue e pull request sono benvenuti su github.com/amir-malek/react-cve-2025-55182.